dubbio su utilizzo variabile all' interno di una stringa

[JVM]

ciao ragazzi e auguri !

Avrei un dubbio: per evitare di usare le virgolette con l' escape all' interno delle stringhe, quindi per non scrivere cose del genere:

$tipo = "tipo1"
$query = "SELECT tipo FROM tabella WHERE tipo=\"".$tipo."\""

posso scrivere direttamente così

$tipo = "tipo1"
$query = "SELECT tipo FROM tabella WHERE tipo=$tipo"

o ci sono controindicazioni di qualche tipo ? Possibili incompatibilità di forma ? Problemi insomma.

[neroux]

Certo che lo puoi scrivere anche così (tranne che mancano gli apici). Però in ogni caso avrai una bellissima sql injection

[JVM]

mi spiegheresti meglio questa cosa ? Nell' esempio che ho postato la variabile non è definita tramite input utente, ma viene definita all' interno del codice stesso, anche in questo caso c'è possibilità di sql injection anche se register globals è impostato su off ?

Nel caso invece di variabili definite tramite variabili $_POST o $_GET ho letto che si può utilizzare un filtro di escape string o di casting nel caso il valore sia numerico.

Lo sbaglio sta nell' utilizzo della variabile direttamente all' interno della stringa, oppure nel fatto che non hai visto filtri nel codice che ho postato ? Dopo la premessa qui su, è ancora a rischio injection ? Se si, potete spiegarmi ?

[satifal]

Originariamente inviato da JVM
Lo sbaglio sta nell' utilizzo della variabile direttamente all' interno della stringa, oppure nel fatto che non hai visto filtri nel codice che ho postato ?

Non c'è alcuna differenza tra:

$tipo = "tipo1";
$query = "SELECT tipo FROM tabella WHERE tipo='".$tipo."'"; 

e

$tipo = "tipo1";
$query = "SELECT tipo FROM tabella WHERE tipo='$tipo'"; 

[JVM]

ok grazie

Per quanto riguarda invece il filtraggio delle stringhe e valori numerici interi con mysqli_real_escape_string e (int) , sempre parlando di injection e input utente mirato a fare danni, sono a posto per le query?

[neroux]

Originariamente inviato da JVM
mi spiegheresti meglio questa cosa ? Nell' esempio che ho postato la variabile non è definita tramite input utente, ma viene definita all' interno del codice stesso, anche in questo caso c'è possibilità di sql injection anche se register globals è impostato su off ?

Giusto, in quel caso che il contenuto della variabile viene definito soltanto ed esclusivamente da parte tua non ci sarebbe il rischio di una sql injection. Scusa per la confusione.

Però, è sempre importante di tenerlo in mente. Di non dimenticare mai che tutto l'input da parte dell'utente sarebbe da considerare il nemico .

Originariamente inviato da JVM
Nel caso invece di variabili definite tramite variabili $_POST o $_GET ho letto che si può utilizzare un filtro di escape string o di casting nel caso il valore sia numerico.

Sì, in questi casi si usa normalmente il metodo escaping del database.

[JVM]

si in effetti è sempre meglio ricordare di stare attenti all' input utente, cosa che mi hanno fatto notare tempo fa sempre qui sul forum, al che mi sono attrezzato e ho cominciato a vedermi funzioni di escape et similia, al fine di evitare brutte sorprese .

Ma chiedere non fa mai male anzi al massimo si impara qualcosa di nuovo, quindi ogni tanto mi affaccio al forum.

Grazie ragazzi alla prossima