mysql query + sprintf = injection？

Question

私はいつも他のサニタイズ方法（と準備された文章）を使いたいですが、クライアントが元のスクリプトから1行を変更したくない特定の条件の下にあります（プラグインを追加するだけです）

イムは、誰かが$ POST値を変更することで、これを悪用する可能性がありますし、（クライアントが通常行うように）、彼は私を責め可能性が心配：

extract($_POST, EXTR_PREFIX_ALL, "POST"); 
$q = sprintf(ARQ, trim($POST_string)); 
$res = doexec($q); 
DEFINE("ARQ", "INSERT INTO library (string) VALUES ('%s')"); 

私はいくつかの組み合わせを試してみましたが、私は得ることができ、すべてがエラーだった、何のmysqlので を注入していませんこれは十分安全ですか？

Answer 1

doexecは、;でチェーンされた複数のコマンドを受け入れないものを呼び出すとしますか？サブクエリを使用して、他のテーブルからパスワードやその他の機密データを挿入することもできます（ユーザーが保存したデータを読み取ることができると仮定した場合、timing attackを使用できます）。ファイルシステムのセキュリティがデータベースアクセスコードのセキュリティと同程度でない場合、SELECT INTOを使用して実行可能なPHPスクリプトを作成できます。