as expressões regex impedem a injecção de SQL/script

Geralmente a injecção de Sql ocorre nas cadeias de caracteres passadas para os parâmetros de um comando sql, tais como inserir, actualizar, apagar ou seleccionar. Esta expressão regular valida se existe algum comentário em linha ou em bloco no comando sql.

/[\t\r\n]|(--[^\r\n]*)|(\/\*[\w\W]*?(?=\*)\*\/)/gi

Você não pode de forma alguma impedir as tentativas de injecção de SQL do lado do cliente. É uma idéia terrível, terrível que não pode ajudá-lo, mas pode causar uma dor de bola para usuários genuínos. Não impedirá ninguém que tenha a possibilidade de explorar um SQLi.

No que diz respeito à expressão regular, você precisa adicionar o / no início e no fim, como no seu exemplo de correio, para denotar que é um regex. Além disso, acho que o desenho regex é defeituoso, pois ainda permite muitos vectores de injecção. Para exemplo que permite a temida única citação ', -- comments e outros. Ele nem sequer começa a cobrir todas as funções de construção de seus RDBMS que podem estar por aí. Um atacante muitas vezes fará uso de, por exemplo, selecionar declarações já no seu lado do servidor, então removê-las provavelmente não iria ajudar nenhum dos dois.

A sua melhor defesa é usar consultas parametrizadas do lado do servidor (pg_prepare para php & postgres)

Por isso, não inventes novos escudos mágicos e formas de proteger o perigo de injecção mágica! em vez disso, tente entender como a fuga da entrada funciona.

Apenas a-z ou a-Z ou 0-9 entre 4-8 caracteres:

^([a-z]|[A-Z]|[0-9]){4,8}$

É mais comum escapar dos caracteres de controlo como `e ' dessa forma ainda se pode introduzir o código SQL na base de dados, dizer que está num CMS e estou a adicionar um artigo sobre a injecção de SQL. Quero usar essas palavras e caracteres sem desencadear uma injecção. Olhando para ele, parece ser para algo com base HTML para converter o para , que irá sanitar qualquer e todas as tags html, enquanto ainda permite que o conteúdo de demonstração HTML para ser exibido.