уважаемый Ипатьев, объясните что Вы хотите вообще сказать? Читая Ваши очень познавательные комментарии я понимаю что с Вами можно общаться только на языке энциклопедического словаря.

вот например это что такое вообще???
Конечно это абсолютно разные вещи, например, такие как бензин и машина, кирпич и раствор... 

Скрипт получает данные, они должны быть приведены в соответствие и составлен запрос. Каким это образом будет сделано решать разработчику. Я показал что существует ещё вариант кроме как экранирование. Если Вас не устраивает слово "фильтрация", то тогда замените его на "приведение данных в соответствие...". И экранирование к этому тоже относится(!). А вот то что Вы вставляете в SQL-запрос глобальную переменную - это не самый лучший вариант с точки зрения безопасности. Если вы пишите свои проекты исключительно для собственных нужд, то конечно это всё необязательно делать.. Но если проект в Интернете, да ещё и активно "общается" с пользователями, то безопасность должна занимать чуть-ли не половину проекта

дело в том, что данные в запрос не обязательно попадают из пользовательского ввода.
а данные, введенные пользователем, не обязательно попадают в SQL запрос.

M IZ@TOP

Не кормите Троллей!

слушаюсь!

Хотя я не думаю, что это тролль. 
Скорее - добросовестное заблуждение.

Это сообщение отредактировал(а) Ипатьев - 17.9.2009, 12:12

А где тут лишние телодвижения? по мне так вполне нормальный запрос на авторизацию..

Ипатьев, не дождешься   

зачем использовать два запроса, вместо одного?!

Добавлено через 21 секунду

Оо

Да не, там, вроде, в обоих случаях запрос был один.
Просто в первом хэш сравнивается в скрипте, а во втором подставляется прямо в запрос.
Разница только в обработке, но не принципиальная. Хотя привычнее все в запросе писать.

Gold Dragon, 
Я так же использую класс с фильтрами очень удобно 
+

Ипатьев, 

Как Вы используете библиотеку PEAR DB то же экранируете  или в фреймворке тоже экранируете .
Об этом и говорил Gold Dragon,  установил класс (фильтр) для данных, конкретной области , в том числе и экранирование данных, и забыл.



Это сообщение отредактировал(а) Sentox - 17.9.2009, 16:28

Sentox, Вы немного путаете понятия. Фильтры на данные пользовательского ввода в программе - это логика (бизнес-логика, если хотите), а экранирование данных передаваемых в SQL-запрос обязательная процедура, которая ну никак не связана с тем, фильтровали вы данные прежде или нет.

well
когда я вижу фразу

я понимаю ее так, что квотинг данных для БД мы подменяем фильтрацией.
что, разумеется, неправильно.




Это сообщение отредактировал(а) Ипатьев - 17.9.2009, 17:24

Gold Dragon и я не это аргументировали.
То что  это понятно и так, и в аргументацию я привёл  , что само собой обрабатывается своей предметной областью.

Если Вы вчитаетесь в 

увидите разницу, что человек , не берусь утверждать, реально не понимает абстракции и наверное ООП  .

Это сообщение отредактировал(а) IZ@TOP - 17.9.2009, 17:31

Вы глубоко заблуждаетесь   

Давайте не будем говорить за Gold Dragon.
Приведите пример того, о чем говорите вы лично.
Возможно, мы говорим об одном и том же, но хочется разобраться.
О какой предметной области и о каких фильтрах идет речь?

Лично я подготовку данных для SQL запроса не называю словом "фильтрация". Поскольку такие действия фильтрацией, собственно, не являются. Возможно, разночтения только в этом.

Но, тем не менее, если вы наборсаете небольшй алгоритм, вида "вот фильтрация, делает то-то, вот квотинг, вот запрос, а предметная область 0 это такие-то данные ", то я буду вам очень благодарен.

Вот о чём и спор.. Ипатьев, понимаете, Вы пытаетесь навязать своё понимание терминологии всем., но чем хорош русский язык что в нём может родиться существительное, прилагательное или глагол лишь только по тому что человек ЭМОЦИОНАЛЬНО так решил.. вот например, "Чайник уже звенит от свиста" или более понятно "голова болит от понимания прочитанного".. Я же писал что если Вам не нравится слово "фильтрация", то замените его "приведение данных в соответствие". Вы привыкли вставлять глобальные переменные с экранированием сразу в запрос, а я приучил себя все глобальные отдавать локальным, локальные приводить в соответствие, запрос присваивать переменной, а уж потом переменную отдавать в запрос. 

Вот скажите мне зачем мне это нужно

если у меня, например, есть такое

кстати, вот это вообще считаю безобразием, использовать глобальную переменную