php - YII 束插入 - 避免 SQL 注入(inject)

Question

我在循环中向 DB (~ 500) 插入大块数据(总共有将近 20000 条或更多记录):

            $builder = Yii::app()->db->schema->commandBuilder;
            $command = $builder->createMultipleInsertCommand('product_supplier',
                  $dataToDb
            );
            $command->execute();

使用 AR 可以使用 validate() 方法来确保数据有效并且 AFAIK 模型转义所有危险数据。

我想避免被 SQL 注入(inject)。

当我使用多重插入时，我应该自己转义所有数据还是由 Yii 来处理？

使用标准 PHP 函数“mysqli_escape_string”是个好主意吗？

我不确定它有多好。

谢谢。

Answer 1

CDbCommand::createMultipleInsertCommand()方法使用参数绑定(bind)，所以它是安全的。

ActiveRecords 也使用参数绑定(bind)并且不需要额外的转义。