SQLi nu a dispărut — s-a mutat în cod legacy și în query-uri construite din stringuri. Cum îl închizi definitiv în PHP.
Actualizat 27.10.2026
PHP
Orice concatenare de tip "SELECT * FROM users WHERE id = $id" este un risc. Folosește PDO/MySQLi cu prepared statements și bind de parametri.
Checklist
- Zero query-uri din input brut
- ORM-uri configurate corect (nu raw SQL nesigur)
- Least privilege pe user-ul DB
- WAF ca strat suplimentar, nu ca scuză
$st = $pdo->prepare('SELECT * FROM users WHERE id = ?');
$st->execute([$id]);Ți-a fost util acest articol?