mysql - reales - inyecciones sql mas comunes

Erlang Mysql: Cómo prevenir las inyecciones de SQL

Question

Soy muy nuevo en erlang y necesito codificar algo que inserte filas en una base de datos MySQL. ¿Cómo puedo prevenir las inyecciones de SQL con Erlang? ¿Hay algo así como declaraciones preparadas en otros idiomas o cómo debería hacerlo?

Gracias por tus respuestas.

Answer 1

Esta respuesta depende del controlador que está usando.

Erlang ODBC tiene una función param_query que vincula un conjunto de parámetros a la consulta y también puede escapar a todos los caracteres especiales de SQL.

erlang-mysql-driver tiene declaraciones preparadas:

%% Register a prepared statement
mysql:prepare(update_developer_country,
              <<"UPDATE developer SET country=? where name like ?">>),

%% Execute the prepared statement
mysql:execute(p1, update_developer_country, [<<"Sweden">>,<<"%Wiger">>]),

(código del blog de Yariv )

Como último recurso siempre puedes escapar de los personajes

 NUL (0x00) --> /0 
 BS  (0x08) --> /b
 TAB (0x09) --> /t
 LF  (0x0a) --> /n
 CR  (0x0d) --> /r
 SUB (0x1a) --> /z
 "   (0x22) --> /"
 %   (0x25) --> /%
 ''   (0x27) --> /'
 /   (0x5c) --> //
 _   (0x5f) --> /_