sql injection. prevenzione e delucidazioni.

[nicola75ss]

Leggevo l'altro giorno un pdf relativo all'sql injection.
Purtroppo è bastata la forma più elementare di questa tecnica per ritrovarmi all'interno della mia applicazione.
Infatti scrivendo admin ' or 1='1 /* e una password qualsiasi ho
avuto libero accesso.
Volevo sapere che precauzioni posso prendere nello scrivere codice affinchè ciò non avvenga (a parte ovviamente usare nome utenti meno
ovvi di admin).
Inoltre vorrei capire un'altra cosa.
Perchè se scrivo pippo ' or 1='1 /* (con pippo che ovviamente non è un utente del mio db) non riesco ad accedere mentre la query
select * from users where user = "pippo" or 1='1'; mi restituisce
tutti gli utenti?
Le due cose non dovrebbero essere equivalenti?
Grazie in anticipo.

[}gu|do[z]{®©]

http://freephp.html.it/articoli/view...p?id=123&pag=1

comincia da qui