Сегодня я покажу вам, как безопасно работать с пользовательским вводом в PHP — тема ста... — 1 июня 2026 г. в 05:14:30.026
Сегодня я покажу вам, как безопасно работать с пользовательским вводом в PHP — тема старая, но до сих пор частая причина уязвимостей. Часто вижу в коде что-то вроде: $id = $_GET['id']; $query = "SELECT * FROM users WHERE id = $id"; Если вы всё ещё так делаете — пора остановиться. Это прямое приглашение для SQL-инъекций. Даже если вы думаете "ну я же intval() применяю", это не решение. Правильный подход — использовать подготовленные выражения (prepared statements). Пример на PDO: $id = $_GET['id']; $stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id"); $stmt->execute(['id' => $id]); $user = $stmt->fetch(); Если вы используете mysqli, там тоже есть prepare() — не игнорируйте его. Никогда не вставляйте переменные напрямую в SQL-запросы. Также стоит помнить: фильтрация ≠ экранирование, и экранирование ≠ защита. Настоящая защита — это изоляция данных от SQL с помощью prepare(). 👉 @php_lib