Телеграмм чат группы prophp7 страница 10250

Так и в пхп можно так сделать элементарно. Делаем, чтобы все функции, которые выполняют какую-то работу в базе принимали не строку, а объект. И делаем функцию преобразования строки в этот объект.
В слонике, кмк так и сделано.

источник

18:30пожаловаться #12

Artem Molotov in PHP

всё, вкурил

источник

18:30пожаловаться #13

Sergey Protko in PHP

Artem Molotov

а что мешает в js передать параметр как часть строки?

execute('raw string ' + inject) // fails on typecheck
execute(`raw string ${inject}`) // fails on typecheck
execute(sql`raw string ${inject}`) // passes

источник

18:31пожаловаться #14

Sergey Protko in PHP

Aleksandr Khristenko

да но в слонике за это тег отвечает. Ты можешь эту проверку и там обойти, суть в том что... ну вот

fn($sql) => "SELECT 1 FROM users where id = $id"

и как бы уже не безопасно и ты это дело никак не распарсишь

источник

18:32пожаловаться #15

Artem Molotov in PHP

Sergey Protko

execute('raw string ' + inject) // fails on typecheck
execute(`raw string ${inject}`) // fails on typecheck
execute(sql`raw string ${inject}`) // passes

я скорее о случае в стиле execute(sql`raw string ` + inject)

источник

18:32пожаловаться #16

Artem Molotov in PHP

но до такого нужно постараться додуматься

источник

18:32пожаловаться #17

Aleksandr Khristenko in PHP

Sergey Protko

да но в слонике за это тег отвечает. Ты можешь эту проверку и там обойти, суть в том что... ну вот

fn($sql) => "SELECT 1 FROM users where id = $id"

и как бы уже не безопасно и ты это дело никак не распарсишь

Ну, тэг там это просто вызов функции.
Только передается не голая строка а уже распашренная.

источник

18:33пожаловаться #18

Sergey Protko in PHP

Artem Molotov

я скорее о случае в стиле execute(sql`raw string ` + inject)

получишь type error потому что `sql`raw string`` вернет тебе объект

источник

18:33пожаловаться #19

Sergey Protko in PHP

Aleksandr Khristenko

Ну, тэг там это просто вызов функции.
Только передается не голая строка а уже распашренная.

я вкурсе)

источник

18:33пожаловаться #20