SQL injection

Následující první řádek ukazuje chybu: e-mail by se přilepil do SQL textu. Bezpečná varianta posílá e-mail jako parametr. Směr řazení a název sloupce se naopak parametrizovat nedají, proto aplikace použije mapu předem povolených voleb a výchozí hodnotu.

Ukázka používá Doctrine DBAL jen pro názornost. Stejný princip platí pro PDO i ORM: data oddělit parametrem, strukturu dotazu určit kódem a neposílat do ní volný text od klienta.

// Nedělat: SQL kód a data jsou v jednom řetězci.
$sql = "SELECT * FROM orders WHERE customer_email = '$email'";

$sortColumns = ['date' => 'created_at', 'number' => 'order_number'];
$sort = $sortColumns[$requestedSort] ?? 'created_at';

$rows = $connection->executeQuery(
    'SELECT id, order_number, created_at
     FROM orders
     WHERE customer_email = :email
     ORDER BY ' . $sort . ' DESC',
    ['email' => $email],
);