sprintf()でSQL文を生成する際、%は%でエスケープできる - Qiita

2020/09/13 12 users Qiita SQL文

何を言っているのかわからねーと思うが、ありのままを話すぜ 2020/09/12 追記 コメントにてSQLインジェクションの原因となる脆弱性をご指摘いただきました。 本記事はsprinf()でSQLクエリを作成する事を推奨するものではないとご理解をお願いします。 @tadsan様　ありがとうございます。 はじめに 現在私はPHP+MySQLでフ... 続きを読む

php - PHPのsprintfによるSQL組み立てで脆弱性が生じる例 - スタック・オーバーフロー

2015/04/23 40 users escape select null スタック SQL

1番目 sprintf("SELECT * FROM table WHERE id = %d", $value); $valueにどのようなデータが入っていようが、PHPの「親切な」型変換により数値に変換されます。escape()が無くても問題ありません。 "123" => 123 " 123" => 123 "123abc" => 123 " " => 0 "" => 0 null => 0 た... 続きを読む

qrintfの最適化 - RuJIT開発日記

2014/12/23 43 users qrintf フォーマッタ GCC チューニング 本稿

2014-12-24 qrintfの最適化 H2Oの内部では，数値，文字列のフォーマッタとしてsprintfが用いられています． 我々は，最近までsprintf専用ソースコード変換器, qrintfのチューニングを行っていました． 本稿ではqrintfの概要と今回適応した工夫，そして今後の課題についてまとめておきます． 1. qrintfとは？ qrintfとはCコンパイラの１つであるgccのプリ... 続きを読む

Kazuho's Weblog: sprintf を最大10倍以上高速化するプリプロセッサ「qrintf」を作った

2014/10/02 415 users プリプロセッサ Thursday qrintf 数値 文字列

Thursday, October 2, 2014 sprintf を最大10倍以上高速化するプリプロセッサ「qrintf」を作った 最近H2OというHTTPサーバを書いているのですが、プロファイルを取ってみるとsprintfが結構な時間を食っていて不満に感じていました。実際、sprintfは数値や文字列をフォーマットするのに十徳ナイフ的に便利なので、HTTPサーバに限らず良く使われる（そしてCP... 続きを読む

Rubyのプログラムでsprintfを見る機会がほとんどない理由 - Ruby親方＠秋田に避難中

2011/05/17 34 users Rubyist str tax Price Ruby

私もCとかやっていたので、sprintfの便利さは痛感していたのですが、今でもRubyでsprintfを使ってしまう時があります。しかし、先日naruseさんに指摘されたのを機会にメモっておきます。sprintfを多くのRubyistが使わない理由は必要ないからです。Rubyにもsprintfはもちろん存在していて、以下のように使います。 str=sprintf("price:%5d(tax:%d... 続きを読む