no entendi esto:
Using placeholders
Another way—this one virtually bulletproof—to prevent SQL injections is to use a
feature called placeholders. The idea is to predefine a query using ? characters where
the data will appear. Then, instead of calling a MySQL query directly, you call the
predefined one, passing the data to it. This has the effect of ensuring that every item of
data entered is inserted directly into the database and cannot be interpreted as SQL
queries. In other words, SQL injections become impossible.
The sequence of queries to execute when using MySQL’s command line would be like
that in Example 10-20.
Example 10-20. Using placeholders
PREPARE statement FROM "INSERT INTO classics VALUES(?,?,?,?,?)";
SET @author = "Emily Brontë",
@title = "Wuthering Heights",
@category = "Classic Fiction",
@year = "1847",
@isbn = "9780553212587";
EXECUTE statement USING @author,@title,@category,@year,@isbn;
DEALLOCATE PREPARE statement;
lo traduje
otra forma, esta virtualmente a prueba de balas, para prevenir las sql injections es usar una capacidad llamada placeholders. la idea es definir una query usando caracteres ? donde la data va a aparecer. entonces en ves de llamar al mysql query directamente, llamamos la predefinida, pasandole la data a ella. Estoy tiene el efecto de asegurar que cada item de data ingresado es insertado directamente a la database y no puede ser interpretado como SQL query. en otras palabras la sql injection se vuelve imposible.
la secuencia de queries para ejecutar cuando usamos la linea de comando de MYSQL seria como en el ejemplo 10-20
Using placeholders
Another way—this one virtually bulletproof—to prevent SQL injections is to use a
feature called placeholders. The idea is to predefine a query using ? characters where
the data will appear. Then, instead of calling a MySQL query directly, you call the
predefined one, passing the data to it. This has the effect of ensuring that every item of
data entered is inserted directly into the database and cannot be interpreted as SQL
queries. In other words, SQL injections become impossible.
The sequence of queries to execute when using MySQL’s command line would be like
that in Example 10-20.
Example 10-20. Using placeholders
PREPARE statement FROM "INSERT INTO classics VALUES(?,?,?,?,?)";
SET @author = "Emily Brontë",
@title = "Wuthering Heights",
@category = "Classic Fiction",
@year = "1847",
@isbn = "9780553212587";
EXECUTE statement USING @author,@title,@category,@year,@isbn;
DEALLOCATE PREPARE statement;
lo traduje
otra forma, esta virtualmente a prueba de balas, para prevenir las sql injections es usar una capacidad llamada placeholders. la idea es definir una query usando caracteres ? donde la data va a aparecer. entonces en ves de llamar al mysql query directamente, llamamos la predefinida, pasandole la data a ella. Estoy tiene el efecto de asegurar que cada item de data ingresado es insertado directamente a la database y no puede ser interpretado como SQL query. en otras palabras la sql injection se vuelve imposible.
la secuencia de queries para ejecutar cuando usamos la linea de comando de MYSQL seria como en el ejemplo 10-20
Comentario