sprintf()でSQL文を生成する際、%は%でエスケープできる - Qiita

何を言っているのかわからねーと思うが、ありのままを話すぜ 2020/09/12 追記 コメントにてSQLインジェクションの原因となる脆弱性をご指摘いただきました。 本記事はsprinf()でSQLクエリを作成する事を推奨するものではないとご理解をお願いします。 @tadsan様 ありがとうございます。 はじめに 現在私はPHP+MySQLでフルスクラッチ開発をしている会社で働いているのですが、 まだ、入社して1ヶ月ほどなので既存のコードを読むことがほとんどです。 弊社ではphpファイルの中でSQL文を生成する際に sprintf()を使用して、フォーマットを整えるようにしています。 （これがスタンダードなのかは不明） その中で、いまいちよくわからない記述を調べていくうちに 興味深いルールに出会いましたので、忘れないようQiita残しておきます。 sprintf()でSQLの曖昧検索クエリを

[ockeghem]

『弊社ではphpファイルの中でSQL文を生成する際にsprintf()を使用して、フォーマットを整えるようにしています』って怖すぎでしょう。SQLインジェクションについては他の方が指摘ずみ

[knok]

昔PSPのゲームで自キャラ名に%を含む文字列いれたらおかしくなったという話を思い出した

[chirotec]

スマホゲーでもキャラ名にUnityのリッチテキストのタグを入れたりすると、テキストの色やサイズを変えたりなどのイタズラ出来ちゃうのがたまにあったりするけど、それを超危険にしたバージョン

[munyaX]

プレースホルダ使って気を配っていれば、sprintf自体に罪は無いと思うの。

[tpircs]

怖い話だけど、まぁ気づけてよかったねという気分。

[Amigomr]

気づけてよかったねとは思うけど、こんなのがまかり通っている会社は他にもひどいコード書いてそうで働きたくない

[khtno73]

“都内でPHPベースのECを運営している企業” おいおい平気かよ

[strawberryhunter]

情報系じゃないけど大学で習ったから知ってるわ。

[yug1224]

都内でPHPベースのECを運営している企業ってどこだろう

[delphinus35]

（読む前）なにを言ってるんだ……？（読んだあと）なにを言ってるんだ……？

[toomuchpopcorn]

他言語を使っているけれども、怖さがわかった。勉強になった。

[gologius]

こうやってトンデモコードが産み出されていくんやな…

[love0hate]

タイトルだけで戦慄する

[versatile]

こっわ・・・

[lainof]

検索条件に%が含まれていた場合の話かと思ったら全然違った