seguridad

Respuesta a un comentario sobre PHP: hablemos de seguridad

Enviado por clbustos el Mié, 21/11/2007 - 10:49.
Clasificado en:

Un usuario acaba de enviarnos un comentario, preguntando porque falla lo siguiente (he eliminado las líneas con comentarios del comentario original)

  1.  <?php
  2.   include('conexion.php');
  3.   //Ejecucion de la sentencia SQL
  4.   mysql_query("INSERT INTO medicamento (grupo, nombre,clave,formula,prioridad , presentacion, contenido,unidad_medida,existencia,nivel ) VALUES ($_POST[clave],$_POST[nombre],$_POST[grupo], $_POST[prioridad], $_POST[formula], $_POST[presentacion], $_POST[unidad_medida], $_POST[nivel], $_POST[existencia], $_POST[contenido])");
  5.  ?>

Más allá del problema obvio de la falla de comillas en los valores de la query, alrededor de los $_POST, lo más grave es la posibilidad de hacer una inyección SQL feroz.

Distribuir contenido
Principal