php - 如何在 Yii 框架中使用 mysql_escape_string()？

Question

众所周知，我们不能在 Yii 等框架中使用原始 MySQL 查询。我想在我在 Yii 框架中运行的项目中使用 mysql_escape_string 来避免用户输入中的 SQL 注入(inject)。

我知道 mysql_escape_string 在 PHP 5.5 中已弃用，我有一个 PDO 替代方案。 Yii框架中的替代方案以及mysql_escape_string()的PDO方式是什么？

Answer 1

PDO 中 mysql_escape_string 的替代方法是使用准备好的语句。例如在 Yii 中:

$user = Yii::app()->db->createCommand()
    ->select('username, password')
    ->from('tbl_user')
    ->where('id=:id', array(':id'=>$_GET['userId']))
    ->queryRow();

(来自 Yii 引用文档 http://www.yiiframework.com/doc/api/1.1/CDbCommand )

当您在准备好的语句中通过占位符传递参数时，您可以防止 SQL 注入(inject)。