• nicht von Klammern umschlossen sind


• nicht von Anführungszeichen umschlossen sind

@\bDROP(((\s*)??)|(/\W+\w+)??)[^\"\'\)\/\.,]\b@im

INSERT INTO xyz (name) VALUES(' DROP ');
INSERT INTO xyz (DROP.name) VALUES (' DROP ');
INSERT INTO xyz (name) VALUES ("DROP ");
INSERT INTO xyz ( DROP ) VALUES("DROP ");
INSERT INTO xyz ( DROP,name.field ) VALUES ("INSERT",INSERT );

SELECT * FROM xy WHERE a = 'c';
SELECT * FROM xy WHERE a = "c";
SELECT c,d,e FROM xy WHERE a = 'c';
SELECT a,b,(SELECT q FROM xy WHERE a = 'c') FROM xy WHERE a = 'c';



DROP TABLE `def`;
'DROP TABLE 'def';
DROP TABLE "def";
DROP TABLE def;
DROP TABLE IF EXISTS `B`,`C`,`A`;
 DROP TABLE IF EXISTS B,C,A,DROP                 ;

Array
(
    [0] => Array
        (
            [0] => DROP 
            [1] => DROP 
            [2] => DROP 
            [3] => DROP 
            [4] => DROP 
            [5] => DROP 
            [6] => DROP 
            [7] => DROP/**/TABLE
        )

    [1] => Array
        (
            [0] => 
            [1] => 
            [2] => 
            [3] => 
            [4] => 
            [5] => 
            [6] => 
            [7] => /**/TABL
        )

    [2] => Array
        (
            [0] => 
            [1] => 
            [2] => 
            [3] => 
            [4] => 
            [5] => 
            [6] => 
            [7] => 
        )

    [3] => Array
        (
            [0] => 
            [1] => 
            [2] => 
            [3] => 
            [4] => 
            [5] => 
            [6] => 
            [7] => 
        )

    [4] => Array
        (
            [0] => 
            [1] => 
            [2] => 
            [3] => 
            [4] => 
            [5] => 
            [6] => 
            [7] => /**/TABL
        )

)

   Also da man sich hier ständig rechtfertigen muss:

Ich baue gerade meine DB-Class um da in meinem derzeitigen Projekt auch
"fremd"-Module eingesetzt werden.

Module dürfen immer nur ihrere eigenen Tabellen löschen bzw. bearbeiten, da
dies aber nicht gewährleistet ist da ich ja mit einem DROP jede Tabelle
löschen kann und nur einen User zur Verfügung habe gibt es nur Zugriff auf die
Datenbank über die DB-Class in der normale DROP-Statements blockiert werden.
Das löschen ist dann nur über eine Funktion innerhalb der Class möglich die
jedoch jedem Modul immer nur Zugriff auf die eigenen Tabellen gewährt.

Ich hoffe ich hab das verständlich ausgedrückt, ist etwas kompliziert.

Außerdem hab ich nicht nach einer Meinung zu dem gefragt sonder um
hilfestellung zur Problemlösung.

Außerdem wie schon erwähnt darf ein Modul nur auf seine eigenen Tabellen
zugreifen. Das wird dadurch gewährleistet das sich Datenbankverbindung in der
DB-Class befindet.

Die Zugangsdaten sind in einer Config-Datei verschlüsselt. Die Entschlüsselung ist nur mit dem zuvor angemeldeten User möglich.

Es ist unmöglich alles abzusichern aber man kann versuchen es so sicher wie möglich zu gestalten.

Aber ich habe mir bereits ein funktionierendes preg_match_all gebastelt, danke.

Wie verhindert eine Datenverbindung, dass man auf bestimmte Tabellen zugreift?

Er wird wohl den Zugriff nur über seine Klasse freigeben wollen, und prüft
dort eventuell per Regex die Querys. Naja sehr abenteuerlich

Soll ich ihm verraten, dass man Tabellennamen in SQL auch dynamisch
zusammensetzen kann, ohne dass man jemals den Tabellennamen ausschreiben muss?

Es beteht keine Möglichkeit den Link bzw. die Verschlüsselung von außen zu beeinflussen.

Die Connection wird in der Klasse hergestellt

DROPs müssen erlaubt sein da die Module selbst ihre Tabellen manipulieren bzw.
löschen dürfen.
Wer wohin darf wird in einer seperaten Tabelle gesteuert auf die nur das
"System" selbst Zugriff hat. Dass das System auf diese Tabelle zugreifen darf
ist im Quelltext verarbeitet.

Warum dieses Misstrauen?