SQL-Injection · Frage 11 von 12
Ein Gästebuch sucht mit $sql = "... WHERE bodytext LIKE '%" . $q . "%'". Welche Korrektur ist vollständig?
1 Antwort ist richtig. Schwer
Lösung anzeigen
Lösung
- B QueryBuilder mit escapeLikeWildcards() und Parameter
Erklärung
Gebunden wird der Wert mit createNamedParameter(), escapeLikeWildcards() verhindert, dass % und _ als Platzhalter wirken. addslashes() und htmlspecialchars() sind kein verlässlicher Schutz gegen SQL-Injection.