✔ SQL-Injection möglich oder nicht?

[Gumbo]

Es hängt auch davon ab, wie das Ganze implementiert ist. Zudem war Felix’ Beispiel etwas fehlerhaft.

$foo = "admin' --";
$bar = "";

$sql = "SELECT * FROM `table` WHERE `username` = '$foo' AND `passwort` = '$bar'";

 

[Nils Hitze]

Über die Sinnhaftigkeit von PDO/Propel/AdoDB selbst bei nur einem DB System gibt es nichts zu streiten, jeder der noch Queries ala SELECT * FROM in Variablen hackt sollte sich die Systeme genau anschauen, schon alleine wegen der Schadcodefilter.

Zum Thema passend: