Nieodpowiednie filtrowanie lub niedostateczne typowanie oraz przesyłanie danych w postaci zapytań SQL do bazy danych, może doprowadzić do powstania niebezpiecznego kodu. Szczególnie, gdy aplikacje będą obsługiwane przez internet. Kod ze złym zapisem pokazano poniżej.
$dbh->do("SELECT * FROM FAKTURY WHERE KLIENT = '$klient'");
Do zmiennej
$klient, można wprowadzić dowolne wyrażenie, a nie tylko identyfikator naszego klient np.
$klient = DROP TABLE Faktury;
Dlatego zalecana jest parametryzacja zapytania co pokazane zostało w przykładach na
stronie...
PerlGtk.pl
