Вопрос по sql-инъекции.

>Неким образом

Каким именно?

Подстановка строки в атрибут value одного из полей формы. Намерен прогонять регэксп на серверной стороне чтобы оставались только числа, однако хочется знать есть ли необходимость.

Язык? Фреймворк?

В php, например, есть intval для таких случаев.

На кой регэксп? Кастонуть в int и радоваться.

Да в любом фреймворке что-нибудь да есть для таких случаев :) В Рельсах точно должно быть.

> Кастонуть в int и радоваться.
Да-да, кастни. А потом, если эти записи как-то обрабатываются, будешь ловить массу занятных ошибок.

>Язык? Фреймворк?

Rails. Я так и не понял: оно надо?

Я бы полез в гугл, но задача второстепенная потому ждёт тут.

>Да-да, кастни. А потом, если эти записи как-то обрабатываются, будешь ловить массу занятных ошибок.

[code] irb(main):001:0> %Q[select `item_id` from `effect_per_items` where `effect_id` = '2'].to_i => 0 [/code]

В итоге будет просто 404. Что не страшно, учитывая что человек сам не туда полез.

Во всех остальных местах задница прикрыта, а тут запрос здоровенный и потому гм.. дыры.

Да-да, кастни. А потом, если эти записи как-то обрабатываются, будешь ловить массу занятных ошибок.

Какие записи? Ты о чём?

my $id = int $self->param('id');

Можно, правда, добавить проверку $id, но если всё сделано по-уму, то будет стоять проверка на наличие записи с таким id, в случае чего - выдаваться 404.

не верю что в рубях нет подстановок (вроде :value или ?)

а если есть - то в чём вопрос-то?

пиши по людски

hren_ego_znaet("SELECT `name` FROM `items` WHERE `id` IN (select `item_id` from `effect_per_items`  where `effect_id` = :value", $param)

[[/code]]

и никаких инъекций. вообще. я гарантирую.

Не уверен что никаких вообще. Нужно глянуть сырцы, но, емнип, там просто нормализация скобочек.

Может ли код вложенного запроса содержать что-то вроде DELETE и ко.?

Если СУБД поддерживает нормальный SQL - то не может.

Но: если возник такой вопрос, значит что-то пошло сильно не так.

Просто ТС нашел SQL INJ и хочет ещё и базу стереть :}