Seguridad en $_GET

[ONahuelO]

Hola, quisiera saver si este codigo es vulnerable a inyeccion.

Código PHP:

  <?php 
$id = (int) $_GET['id']; 
$name = (string) $_GET['name']; 
$price = (string) $_GET['price']; 
mssql_select_db('clientes',mssql_connect('127.0.0.1,1433','sa','1234')); 
mssql_query("INSERT INTO usuarios (id,name,price) VALUES ($id,'$name','$price')"); 
?>   

[carlos_belisario]

pues creo que seria bueno que leyeras un poco de seguridad ahi te ayuda mucho con respecto a la seguridad saludos

[ONahuelO]

Acabo de leer las 3 partes de la guia, y en la 2 explica lo del codogo, pero de nuevo estoy en la misma, mas o menos entiendo lo que es la inyeccion y que si filtro caracteres no va a pasar, pero lo que no quiero es limitar al usuario a que no use esos caracteres.

Osea pensava en que el usuario pueda usar los caracteres que pueda, y informarle al sql que es un string y no pueda inyectarme codigo.

[cluster28]

Es mejor que verifiques siempre lo que escriben los usuarios antes de pasarlo a la base de datos. Ya sea tipos de datos o valores exactos posibles.

Se suele usar la función addslashes para, por lo menos, poner contrabarras delante de los carácteres que necesitan escaparse en situaciones como consultas de bases de datos. Con esto se puede evitar la inyección. (aunque no te puedo asegurar que sea 100% efectivo)