Удобный перенос предметов с доп. ифнормацией в другой таблицей в разные инвентари

[tnc]

Как минимум, это открывает доступ к SQL-инъекциям.

Эмм? Если строка экранированная, то каким образом?

Вот только далеко не каждый сможет такой плагин написать :)

Я тебе к тому, что если получили доступ до машины, то это в любом случаи уже "слитая каточка". Там есть другие способы, которые могу навредить проекту. Например: как раз такой плагин и достать данные. Это просто пример, но факт в том, что если получили доступ до машины, то защиты от этого никакой нет, кроме как сменить пароль и искать бэкдоры в системе.

[DeimoS]

Эмм? Если строка экранированная, то каким образом?

Если строка экранирована, то, естественно, никаким. Но у нас идёт речь о пчелике, у которого на руках есть только структура таблицы и большое желание повеселиться на сервере. Имея на руках правильные имена таблиц и полей, такой пчелик может начать перебирать все существующие системы, которые так или иначе отправляют запрос в БД (или перебирать вообще все системы, если этот момент не очевиден). И если разработчик в какой-то из систем забыл добавить экранирование, то итог, думаю, будет очевиден (а с учётом общего уровня знания MySQL в Pawn-сообществе и качества кода тех же слитых в сеть модов - шансы найти такую дырявую систему довольно велики).

Я тебе к тому, что если получили доступ до машины, то это в любом случаи уже "слитая каточка". Там есть другие способы, которые могу навредить проекту. Например: как раз такой плагин и достать данные. Это просто пример, но факт в том, что если получили доступ до машины, то защиты от этого никакой нет, кроме как сменить пароль и искать бэкдоры в системе.

Да причём тут какая-то защита или гипотетические супер-хакеры, которые могут взломать хостинг и напихать в него кучу своих плагинов? Это всё и так очевидно.
Ещё раз: речь сугубо о том, что, с подобными файлами на хостинге, даже Васян, сидящий на каком-нибудь blast.hk, сможет, потенциально, навредить твоему серверу, если ты где-то забудешь экранировать входящие данные.
И это лишь пример одного из нескольких, по моему мнению, недостатков предложенного тобой метода. Собственно, если тебя какие-то преимущества данного метода устраивают, несмотря на перечисленные мной аспекты - пожалуйста, пользуйся им. Я же не запрещаю :)