php - Laravel 中批量分配的风险

Question

我开始使用 Laravel 4.0，默认情况下可以使用批量分配......即

$foo = Foo::create('foo' => 'bar', 'bar' => 'foo');

但我认为在 L4.1 中，必须开始在模型中定义可用于批量分配的字段。现在我正在学习 L5 教程，因为我主要通过反复试验学习了 L4，并且我看到在许多我认为风险相当高的模型(例如用户)上使用了大规模分配。

我有点希望被标记为征求意见，但我不清楚我担心大规模分配的风险(我假设是 SQL 注入(inject))。或者我在模型中定义什么是可批量分配的事实是否消除了 L4.0 系统中的风险？

Answer 1

“风险”是开发人员经常将 Input::all() 传递到模型中。如果没有使用 $fillable 和 $guarded 的新系统提供的保护，意外的用户输入可能会产生错误(确切地说是 SQL 错误，例如:column foo不在字段列表中)，并且它可能允许用户通过操作请求插入您不希望他设置的属性。