Parametrisierte Abfrage

Question

Pls ist dieser Code sicher?

/* Create a new mysqli object with database connection parameters */ 
$mysqli = new mysql('localhost', 'username', 'password', 'db'); 

if(mysqli_connect_errno()) { 
echo "Connection Failed: " . mysqli_connect_errno(); 
exit(); 
} 

/* Create a prepared statement */ 
if($stmt = $mysqli -> prepare("SELECT priv FROM testUsers WHERE username=? 
AND password=?")) { 

/* Bind parameters 
s - string, b - boolean, i - int, etc */ 
$stmt -> bind_param("ss", $user, $pass); 

/* Execute it */ 
$stmt -> execute(); 

/* Bind results */ 
$stmt -> bind_results($result); 

/* Fetch the value */ 
$stmt -> fetch(); 

echo $user . "'s level of priviledges is " . $result; 

/* Close statement */ 
$stmt -> close(); 
} 

/* Close connection */ 
$mysqli -> close(); 

Answer 1

Was den Schutz gegen mySQL-Injektion angeht: Ja. Mysqlis parametrisierte Abfragen sind sicher gegen Injektionsangriffe.

Wenn $user von einer externen Quelle kommt, möchten Sie vielleicht htmlentities() die echo-Anweisung, um Benutzer daran zu hindern, mit einem Benutzernamen anmelden wie <script>(some malicious code)</script>

Answer 2

Der Aufruf per se sicher ist. Sie können diese $mysqli = new mysql('localhost', 'username', 'password', 'db'); jedoch in eine separate Datei außerhalb Ihres öffentlichen Webverzeichnisses einfügen.

Answer 3

Zusätzlich zu Pekkas Kommentar: Verwenden Sie auch htmlspecialchars auf $ result in der echo-Anweisung.