Güvenli kod laboratuvarı

Bir profil sayfası, URL’den gelen kullanıcı kimliğini SQL metnine ekliyor. Hangi değişiklik sorgu yapısını korur?

// Hatalı örnek — çalıştırılmaz
$sql = 'SELECT * FROM users WHERE id = ' . $_GET['id'];

$stmt = $pdo->prepare('SELECT * FROM users WHERE id = ?');
$stmt->execute([$userId]);

Bir yorum, HTML metin düğümüne doğrudan yazdırılıyor. Güvenli gösterim için hangi yaklaşım uygundur?

// Hatalı örnek — çalıştırılmaz
echo '<p>' . $comment . '</p>';

echo '<p>' . htmlspecialchars($comment,
    ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8') . '</p>';

Oturum açmış bir kullanıcı, belge numarasıyla kayıt getiriyor. Başka bir kullanıcının belgesine erişimi nasıl önlersiniz?

// Hatalı örnek — çalıştırılmaz
SELECT * FROM documents WHERE id = ?

SELECT * FROM documents
WHERE id = ? AND owner_id = ?
// owner_id: doğrulanmış oturumdan alınır.