SQL 삽입 및 여러 줄 주석

Question

고객의 쿼리를 테스트하고 흥미로운 질문을 발견했습니다. 나쁜 의도는 해커의 SQL은 다음과 같은 쿼리를 삽입 할 수 :

field1 like '%$searchterm%' 

: 예를 들어

SELECT * FROM mytable WHERE 1 
AND cfield='0' 
AND (
field1 like '%$searchterm%' OR 
field2 like '%$searchterm%' OR 
) 

을, 내 마음에, 그는 처음 $의 SEARCHTERM 후 무엇 주석, 그냥 다른 쿼리를 삽입 할 수있는 방법은 없습니다

그래도 나는 틀릴 수도 있습니다. 귀하의 의견을 기다리고 있습니다. 미리 감사드립니다.

Answer 1

searchterm = "');drop table customers;SELECT * FROM mytable WHERE (field1 like '" 

Answer 2

대신을 시도 :searchterm이 whateter 채워 입력 매개 변수입니다

SELECT * FROM mytable WHERE 1 
AND cfield='0' 
AND (
field1 like '%' || :searchterm || '%' OR 
field2 like '%' || :searchterm || '%' OR 
) 

이 ... 당신의 마음에 드는 언어 제안을 작동합니다.