mysql - 防止ZF中的Sql注入(inject)

Question

我使用下面的代码

$this->getDb()->fetchRow($sql, $params);

是否没有sql注入(inject)？请指导我。我怎样才能使它免于 sql 注入(inject)。

Answer 1

1. 使用 Zend_Db 类，用于转义

2. 使用 Zend_Form 的验证器来过滤输入值。

3.尽可能在内部使用Prepared 语句，例如:

// Build this query:
//    SELECT product_id, product_name, price
//    FROM "products"
//   WHERE (price < 100.00 OR price > 500.00)
//  AND (product_name = 'Apple')
$minimumPrice = 100;
$maximumPrice = 500;
$prod = 'Apple';
$select = $db->select()
   ->from('products',
   array('product_id', 'product_name', 'price'))
   ->where("price < $minimumPrice OR price > $maximumPrice")
   ->where('product_name = ?', $prod);

在此链接中阅读更多内容:

http://static.zend.com/topics/Webinar-Zend-Secure-Application-Development-with-the-Zend-Framework.pdf