Esta pregunta es para resolver una discusión entre un compañero de trabajo y yo.

Digamos que tenemos la siguiente consulta, ejecutada en un servidor LAMP estándar.

SELECT field1, field2, field3
FROM some_table
WHERE some_table.field1 = 123
ORDER BY field2 DESC
LIMIT 0, 15

Ahora supongamos que la cláusula límite es vulnerable a la inyección de SQL.

LIMIT [insert anything here], [also insert anything here]

El punto de mi compañero de trabajo es que no hay forma de explotar esta inyección, por lo que no hay necesidad de escapar (ya que requiere más potencia de procesamiento y esas cosas).

Creo que su razonamiento es estúpido, pero no puedo encontrar la manera de demostrar que está equivocada al encontrar un ejemplo.

No puedo usarUNION ya que la consulta está usando unORDER BY cláusula, y el usuario de MySQL que ejecuta la consulta no tiene elFILE privilegio así que usandoINTO OUTFILE También está fuera de la cuestión.

Entonces, ¿alguien puede decirnos quién tiene razón en este caso?

Editar: la consulta se ejecuta con PHP, por lo que no se agregará una segunda consulta con punto y coma.