На одном из форумов показал вот такой код:

    $title = strip_tags($_POST['title']);
    $title = htmlspecialchars($title);
    $title = mysql_real_escape_string($title);
    $data = mysql_query("UPDATE `theme` SET `Title`='$title' WHERE `Key`='$id'");
 

Меня раскритиковали, сказали код не безопасен и вообще это говно код, мол сейчас рулит PDO, Laravel. Мой код действительно не безопасен?

По поводу Laravel. У меня достаточно маленький проект и использовать в нем Laravel наверное не стоит. Я нашел http://medoo.in/
Он позволяет делать вот такие конструкции:

  $data = $database->update("gallery", ["Title"=>$title],["Key"=>$id]);

Может кто-то работал с medoo.in, можете рассказать его плюсы и минусы.

Dima85
Так пусть расскажут про уязвимость, что нам это задавать? Лично я дыры не вижу, если они увидели, то пусть покажут её
Правда ты показал обработку $title, а не показал обработку $id. Может быть ты её не обрабатываешь как надо?

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

Dima85, не работал, но думаю не плохая абстракция, но твоём месте я бы сделал велосипед.

_____________
Люди, имеющие низкий уровень квалификации, делают ошибочные выводы, принимают неудачные решения и при этом неспособны осознавать свои ошибки в силу низкого уровня своей квалификации

inpost, дыра там есть

_____________
Люди, имеющие низкий уровень квалификации, делают ошибочные выводы, принимают неудачные решения и при этом неспособны осознавать свои ошибки в силу низкого уровня своей квалификации

Dima85
Но тут есть другая проблема, ты не понимаешь что делаешь, поэтому и лепишь все функции подряд. Первая нужна тогда, когда убираешь теги, вторая - когда экранизируешь для ВЫВОДА спец.символы, а третья для запроса MySQL безопасного для строк и используется при занесении данных в БД.

chee
с $title после mysql_real_escape_string ? Расскажи подробнее

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

inpost, причем тут $title, там $id


_____________
Люди, имеющие низкий уровень квалификации, делают ошибочные выводы, принимают неудачные решения и при этом неспособны осознавать свои ошибки в силу низкого уровня своей квалификации

chee
Ты видишь в коде как была создана $id ?
Моя цитата:
"не показал обработку $id"
Отсюда, есть предположение, что ранее написано:
$id = mysql_real_escape_string($_GET['id']); , ведь он точно так же title создавал. Если там так и есть, то безопасно.

Я же сказал, что в $title уязвимости нет, а $id ТС не показал.

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

$id обрабатывается точно так же как и $title
Меня отправили читать вот это: http://phpfaq.ru/misc/sql_injection_dc2013.pdf

Я понимаю что

смешались в кучу кони, люди...

уязвимости с $title нет, есть говнокод
с $id непонятно, так как не видна инициализация и обработка
причем тут фреймворки вообще?

_____________

Профессиональная разработка на заказ

Я на GitHub | второй профиль

chee
Вот видишь, точно так же, значит нет уязвимости.

Dima85
FW тут ни при чём. Тебе бы стандартные вещи языка почитать, как работает та или иная функция, когда их применять и т.д.

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

Dima85
Правильно про PDO говорят.
Это выгладило бы так.

$query = $db->prepare("UPDATE `theme` SET `title` = :title WHERE `key` = :id");
$query->execute(array(
    ':title' =>  htmlspecialchars($_POST['title']),
    ':id'    => (int)$_POST['id']
));

_____________
Промокод предоставляет скидку на заказ домена и/или хостинга reg.ru
BFCC-3895-8804-9ED2

В MySQLi в РНР 5.5 также есть функции prepare, bindParam и други плюшки ранее доступные только в PDO.

mysql_query - считается устаревшей.

по воводу кода:

$title = mysql_real_escape_string($title);
$id = mysql_real_escape_string($id);
$data = mysql_query("UPDATE `theme` SET `Title`='$title' WHERE `Key`='$id'");

Наверняка будет достаточно.

$data = $database->update("gallery", ["Title"=>$title],["Key"=>$id]);

$id = mysql_real_escape_string($id);

$id = (int)$id;