php - Propel 的 fromArray/fromJSON 特性可以避免 SQL 注入(inject)吗？

Question

Propel ORM 文档提到 a neat import/export feature使用像 fromArray 和 fromJSON 这样的函数，应该允许这样的事情:

$foo = new Widget();
$foo->fromArray($_POST);
$foo->save(); /* Aaand you're done! */

...但是文档没有提及以这种方式使用 fromArray 是否应该是安全的，即 fromArray 是否可以处理不受信任的输入。我的猜测是没关系——默认 setter 是防注入(inject)的，整个交易都是基于 PDO——但我想确定一下。

Answer 1

Propel 不仅使用 PDO 进行查询，它还通过 PDO 使用准备好的语句，这在缓解 SQL 注入(inject)攻击(和提高性能)方面非常好。

请注意，只是使用 PDO 并不能保证任何针对 SQL 注入(inject)的保护，始终使用 Prepared Statements .

作为对您问题的回答，是的，Propel 充分利用 PDO 的能力来防止 SQL 注入(inject)。