mysql - CodeIgniter 验证类是否可以防止 SQL 注入(inject)？

Question

科学，我在插入数据库之前验证我的发布数据，假设它不会受到不需要的 SQL 注入(inject)。或者说它仍然容易受到攻击？我需要采取进一步的步骤来清理数据吗？

这些是我从用户插入数据所采取的步骤:

$this->form_validation->set_rules('location', 'location', 'trim|xss_clean');
After Pass Validation: $this->input->post('location')
Then Save into DB: $this->db->insert ('user', $data );

还使用 CI xss_clean 和 ACL 库。问题是这种做法安全吗？

Answer 1

是的，CI 会验证您的应用程序，但您必须在配置中启用它。

application/config/config.php 第 350 行:

/*
|--------------------------------------------------------------------------
| Global XSS Filtering
|--------------------------------------------------------------------------
|
| Determines whether the XSS filter is always active when GET, POST or
| COOKIE data is encountered
|
*/
$config['global_xss_filtering'] = FALSE;

如果将此变量设置为 TRUE，所有 get、post 和 cookies 都将被过滤。

如果您启用了此选项，则不必使用:

**xss_clean**

在:

$this->form_validation->set_rules('location', 'location', 'trim|xss_clean');