$output = '';
if(isset($_POST["query"]))
{
$output = '';
$search = "%{$_POST['query']}%";
$stmt = $con->prepare(" SELECT * FROM tables WHERE cat_name LIKE ?
LIMIT 3");
$stmt->bind_param("s",$search);
$stmt->execute();
$result = $stmt->get_result();
while($row = mysqli_fetch_array($result))
{
$output .= '
<a href="tables.php?id='.$row['cat_id'] .'"
class="searchLinksStyle w3-col l12 w3-card-4 w3-round-large w3-button"
>'.$row['cat_name'].'</a>';
}
echo $output;
% , saranno trattati come caratteri speciali, non come caratteri letterali. Non conosco abbastanza bene le caratteristiche del motore dei caratteri jolly MySQL per capire se questo abilita un attacco DoS (ad esempio tramite un retrocedere catastrofico). Vedi la risposta accettata qui .
Dalla risposta accettata:
The main principle there is using prepared statement which is designed for sending safe query to db server, this can be done by escaping user input which is not part of the real query, and also checking the query without any (where clause) to check the validity of the query before using any parameters.
Se la query potrebbe essere costretta a richiedere molto tempo per l'esecuzione, un utente malintenzionato remoto potrebbe potenzialmente utilizzare molte connessioni al database e forzare un carico eccessivo sul database.