php - 如何防止此查询中的 sql 注入(inject)？

Question

我正在使用 Yii 1，我想构建以下查询:

$a = Model::model()->findAllBySql(
              'SELECT * FROM table WHERE name like "%'.$_GET['name'].'%"'
              );

为了防止sql注入(inject)，我是这样写的:

 $a = Model::model()->findAllBySql(
                      'SELECT * FROM table WHERE name like "%:name%"',
                      array("name"=>$_GET['name'])
                      );

但它没有返回任何数据。此查询中是否有任何错误？

Answer 1

当占位符被引用时，它不是占位符，而是文字值。以这种方式尝试:

$a = Model::model()->findAllBySql(
                      'SELECT * FROM table WHERE name like :name',
                      array(":name"=> '%' . $_GET['name'] . '%')
                      );

驱动程序当前会自动附加冒号，但将来可能不会，最好让名称与占位符匹配。