php7-mysql-data/Kapitel_8/Lektion_3/injections.php

11 lines
316 B
PHP
Raw Permalink Normal View History

2016-08-16 21:20:53 +02:00
<?php
$pdo = new PDO('...');
$benutzername = $_POST['benutzername'];
// FALSCH!!!
$pdo->query("SELECT * FROM benutzer WHERE benutzername = '$benutzername'");
// Richtig
$statement = $pdo->prepare("SELECT * FROM benutzer WHERE benutzername = :benutzername");
$statement->execute(['benutzername' => $benutzername]);