- Nunca executar consultas não-escapadas

O PHP tem uma propriedade, ativa por default, que automaticamente escapa (adicionando uma contrabarra antes de) certos caracteres que vierem de um GET, POST, ou COOKIE.

A aspa simples (') é um exemplo de um character que é escapado automaticamente. Isto é feito de assim que você incluir variáveis de entrada em suas consultas SQL, e ele não irá tratar aspas simples como parte da consulta. Diga a seu usuário para entrar com <span class="var">$name</span> de um formulário e você performar esta consulta:


Normalmente, se for digitado $name com aspas simples, elas serão escapadas, então o MySQL poderá ver assim:


Fazendo com que a aspa simples dentro de "Joe's" não interfira com a sintaxe da consulta. Em algumas situações, você pode usar stripslashes() em uma variável de entrada.

Se você colocar a variável dentro de uma consulta, certifique-se de usar addslashes() ou mysql_escape_string() para escapar as aspas simples antes de executar a consulta. Imagine se uma consulta não escapada passar, e um usuário malicioso tiver entrado parte de uma consulta com seu nome!?


No formulário de entrada, o usuário pode ter entrado: Joe',Admin='1

Como seu nome, e desde que aspas simples não foram escapadas, ele/ela serão capazes de verdadeiramente terminar a definição do nome, colocando uma virgula, e ajustando uma outra variável chamada Admin!

A consulta final com se parecerá como esta:


Em algumas configurações, magic_quotes_gpc (a propriedade que automaticamente colocar barras em todos as entradas) está ajustado em OFF. Você pode utilizar a função get_magic_quotes_gpc() para verificar seu estado (ela retorna verdadeiro ou falso). Se retornar falso, simplesmente use addslashes() para colocar barras em todas as entradas (é mais fácil se você usar $_POST, $_GET, e $_COOKIE ou $HTTP_POST_VARS, $HTTP_GET_VARS, e $HTTP_COOKIE_VARS, ao invés das globais porque você poderá percorrer estes vetores usando um loop foreach() e adicioanar barras a cada um deles).