Добавить в мануал...

Modjo7 30.04.2008 14:33

В раздел "переходим к работе БД".

Нигде там не нашёл, почему в запросе поля, пришедшие от пользователя, надо заключать в кавычки, т.е. '$form:text'.

Если забыть, код

$t[^table::sql{select somecolumn from sometable where id = $form:id}]

с удовольствием кушает sql-injections

somesite.ru/?id=1;drop%20table%20sometable

Предлагаю добавить в мануал предупреждение (выделить красным), чтоб не забывали про это. Будет полезно, особенно новичкам.

---