Gibt es ein Injektionsrisiko, wenn keine Benutzereingabe an die Datenbank gesendet wurde?

Question

Ich habe eine kleine MySQL-Datenbank mit ein paar hundert Zeilen (alles im Text, keine Bilder). Ich beantrage alle Zeilen mit iQuery und führe die gesamte Filterung am Client aus. iQuery Code ist folgende:

$(document).ready(function() { 
    $.get("alldata.php", function(data){ 
     $('#result').text(data); 
    }); 
}); 

Auf der Serverseite, der "alldata.php" hat den folgenden Code und die Daten im JSON-Pass zurück zu iQuery:

$sql = "SELECT title FROM mydatabase"; 
$result = mysqli_query($conn, $sql); 
$arr = array(); 

while($row = mysqli_fetch_assoc($result)){ 
    $row_array['Title'] =$row['title']; 
    array_push($arr,$row_array); 
} 
mysqli_close($conn); 

echo json_encode($arr); 

Es scheint, gibt mir Es besteht kein Risiko einer Injektion, da KEINE Benutzereingaben an die Datenbank übermittelt werden. Hab ich recht oder nicht? Vielen Dank für Ihre Anregungen!

Answer 1

Sie haben Recht. Ihre SQL-Anweisung enthält keine Parameter außerhalb von sich selbst, daher gibt es keinen Vektor für die Injektion. Während Injektionsangriffe auf SELECT-Anweisungen möglich sind, wird die Abfrage in Ihrem Fall nicht dynamisch erstellt, sodass sie nicht manipuliert werden kann.

Answer 2

Sie sind sicher, da keine Benutzereingabe erfolgt. Ein böswilliger Benutzer benötigt eine Benutzereingabe, um eine Abfrage zu injizieren. Also vertraue niemals Benutzereingaben.