FILTER_SANITIZE_STRING rischio di sql injection?

[robynosse]

Ciao a tutti,

Data la variabile $stringa che proviene da un campo input html inserito dall'utente.

se faccio questo:

$stringa=filter_var($stringa,FILTER_SANITIZE_STRING);
$sql="select * from tabla WHERE CONCAT(colonna1,colonna2,colonna3,colonna4,colonna5) LIKE '%".$stringa"%'"; 

Rischio un sql injection o posso stare tranquillo?

Grazie,
Roberto

[Alhazred]

Cosa usi per interfacciarti al database? MySQLi? PDO?
Perché per queste cose è meglio usare i prepared statement, sono fatti appositamente.

[robynosse]

Cosa usi per interfacciarti al database? MySQLi? PDO?
Perché per queste cose è meglio usare i prepared statement, sono fatti appositamente.

Uso la classe PDO e ho risolto.
Il problema era che stavo usando %?% al posto di utilizzare solo ? e passare la variabile direttamente come %variabile%.

Grazie della risposta.