SQL инъекции...

[webman]

SQL инъекции...

Подвержен ли такой запрос:

$query = 'SELECT pwd, status FROM ' . TABLE_PREFIX . 'users WHERE name="' .$username . '"';

SQL инъекциям?
$username - из формы методом POST, длина поля 20 символов.
Строка типа xxx" or "1"="1 в поле имени дает запрос типа

$query = 'SELECT pwd, status FROM ' . TABLE_PREFIX . 'users WHERE name="xxx" or "1"="1"';

который выполняется, но потом есть сравнение pwd из таблицы с md5(pwd из поля).
Есть ли еще варианты обхода такой конструкции?
ps: пытаюсь защить авторизацию... может чего не так делаю?

 

[jdoe]

используй [m]mysql_real_escape_string[/m].
всегда.

 

[Фанат]

Защита авторизации ничем не отличается от защиты любого другого скрипта
читай полное руководство по защите от SQL инъекций

 

[webman]

спасибо...