Pear DB und Sicherheit

[oneside]

Benutzt jemand von euch die Pear Klasse "DB"?

Wie sieht das da mit Injections aus?
Hat die Klasse bereits Routinen wie mysql_escape_real_string u.s.w. integriert oder muss man dies selbst durchführen?

Gruß
Oneside

[Abraxax]

warum schaust du dir die class nicht einfach mal an?

[axo]

Re: Pear DB und Sicherheit

Original geschrieben von oneside
Benutzt jemand von euch die Pear Klasse "DB"?

Wie sieht das da mit Injections aus?
Hat die Klasse bereits Routinen wie mysql_escape_real_string u.s.w. integriert oder muss man dies selbst durchführen?

Gruß
Oneside

man kann es selbst durchführen, kann das aber über die prepared statements auch von db selbst machen lassen.

mit

$sql = 'INSERT INTO tab (ist_integer, ist_varchar ) VALUES(?,?)';
$db -> query( $sql, array( (int) $id, (string) $name )); 

wird dir PEAR :: DB das escaping übernehmen.
das typcasting musst du zwar nicht machen, solltest du aber, wenn's um paranoia geht.