Hola Estimados/as. Junto con saludar me gustaría recurrir a su experiencia en inyección de bases de datos sql. Resulta que tengo que impedir que se pueda realizar una inyección SQL en una base de datos SQLite. Me piden ocupar específicamente el uso de prepared
statements.

Ejemplo:

“SELECT * FROM Alumno WHERE rut = ​:rut​"
 

El código que tengo (que funciona por cierto) es:

define("SQLITE_DB_PATH", "navegadorcito.db");
 
$connection = NEW SQLite3(SQLITE_DB_PATH) OR die("No se pudo Conectar con la base de Datos");
 
$sqlStr = "SELECT * FROM Alumno WHERE rut = " . $_GET["rut"];
    echo $sqlStr;
    $connection->query($sqlStr);
    $query = $connection->query($sqlStr);
    while($fila = $query->fetchArray()) {
        print_r($fila);
        echo "<br/>";
    }
 
 

Me imprime por pantalla los datos del rut ingresado por medio del link del navegador. Pero como sabrán los más experimentados, a este código facilmente se le puede poner una inyección sql.

He encontrado código como el siguiente:

 
//CONNECT this creates a NEW PDO object
$db = NEW PDO('sqlite:/path/to/database.sdb');
 
//Build your SQL query WITH parameters :FIELD 
$sql = "SELECT * FROM sometable WHERE someCol=:field";
//PREPARE the above query
$statement = $db->prepare($sql);
//Bind the VALUE received FROM the form OR such WITH the parameter place holder
$statement->bindParam(':field', $_POST['someVal']);
//EXECUTE the prepared query
$statement->execute();
//Fetch the RESULT
$result = $statement->fetchAll(PDO::FETCH_ASSOC);
 
 
//Treat the RESULT AS a pure array
foreach ($result AS $row){
    //do something
}

El cual ocupa el método de prepare statements para evitar la injección SQL en una base de datos SQLite, pero no puedo adaptarlo al código que yo tengo. Cada cambio que le hago me lanza un error por pantalla.

Hasta el momento mi principal duda es qué pongo dentro del PDO en ---new PDO('sqlite:/path/to/database.sdb');---

Si bien la base de datos que ocupo se llama navegadorcito.db, cada vez que pongo ese nombre ahí salta un error al cargar el archivo en el navegador.


Ojala me pudieran dar una mano para entender qué pasa.

Agradecido de antemano por leer esto, me despido.

<?php
define("SQLITE_DB_PATH", "navegadorcito.db");
 
// Nueva instancia de PDO y manejar errores en modo exception.
$db = new PDO('sqlite:'.SQLITE_DB_PATH);
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
 
try {
 
    $sql = 'SELECT * FROM Alumno WHERE rut = :rut';
    $stmt = $db->prepare($sql); // se prepara la consulta
 
    $stmt->bindParam(':rut', $_GET['rut']); // se define el parametro
 
    $stmt->execute();
    $resultado = $db->fetchAll(PDO::FETCH_ASSOC); // se obtienen los resultados
}
 
catch(PDOException $err){
    die('Error PDO: '. $err->getMessage()); // Exit; en caso de error.
}
 
 
print_r($resultado);

Te recomiendo usar PDO dado que es universal y fácilmente adaptable a otras bases de datos si en un futuro necesitas migrar. De hecho PDO usa el mismo driver que Sqlite3 así que realmente no pierdes nada.

Deberías leer un poco sobre ello antes de hacer copy paste..
http://php.net/manual/es/book.pdo.php
http://www.phptherightway.com/#pdo_extension

Saludos