Evitar inyecciones SQL al mostrar datos de forma segura

Mask7OfDragon dijo:

$registros es una variable indefensa y por ende inyectable.

lo mejor es proteger todas las variables declaradas, para ello puedes hacer un array al principio con todas las variables en null(sin asignar nada) y declaradas como protegidas

Hacer clic para expandir...

$registros = $wpdb->get_results("SELECT fgc_error, id_post_error FROM wp_post_error");

echo "Registro #1. id: " . $registros[0]->fgc_error . ", post_error: " . $registros[0]->id_post_error . "<br/>";

alea dijo:

Amigo te dejo un ejemplo de como usar prepare, si te da cierto nivel de protecccion contras las inyecciones sql, si es una preocupacion real que tienes es una de las maneras que te ayudara a dificultarlo, en definitiva recomiendo aplicarlo

$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)");
// aqui en el bind el "sss" indica que los tres parametros son string si son enteros usas i ,doubles d , blobs usas b, una letra para cada //parametro
$stmt->bind_param("sss", $firstname, $lastname, $email);

//luego de hacer el bind puedes ejecutar cuantas sentencias quieras usando el bloque siguiente luego cierra conexion

// set parameters and execute
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();

Hacer clic para expandir...