Защита от SQL инъекций Опции

[vaansk]

Добрый день, реализую клиет серверное приложение. Клиент передает QString search_query, а сервер начинает поиск в базе данных MySQL:

  if (!query.exec("SELECT * from torrents WHERE name LIKE '%" + search_query + "%'"))
  {
    qDebug() << "Unable to select";
  }

Интересуют методы борьбы с sql инъекциями, в интернете только на php попадается по поиску

[ilyabvt]

Ну вообще защита от SQL инфекций должна быть на сервере. И c++ тут не при чем. Вам скорее нужен профильный по SQL форум. Ну если вкратце и примитивно то нужно как можно сильнее урезать возможности пользователя под которым логинится клиент. В частности убрать прямой доступ к табличкам и организовать работу с ними через процедуры.

[Алексей1153]

+ используется экранирование параметров - вычищаются спецсимволы. У mysql есть спецфункции, например real_escape_string

Сообщение отредактировал Алексей1153 - 15.10.2013, 6:54

[Iron Bug]

вычищение всех возможных спецсимволов - довольно хитрая задача. так, с ходу я не напишу. в PHP это довольно жирная процедура, которая проверяет кучу возможностей.
я думаю, что такие вещи уже написаны и существуют в виде библиотек. поищи в сети, наверняка найдёшь что-то подобное.

[Litkevich Yuriy]

в PHP это довольно жирная процедура, которая проверяет кучу возможностей.

угу, она там делает чистку в зависимости от кодировки соединения, иначе проку от неё мало будет.


Может тут есть полезное

Упоминается подготовка запроса (binding/prepare) в качестве умного подхода, вместо выполнения запроса как произвольной строки.