php - MySQL - ORM Idiorm - 防止 SQL 注入(inject)

Question

我使用 PHP 并使用名为 Idiorm 的 ORM 进行 SQL 调用.

请求可能如下所示:

$person = ORM::for_table('person')->create();
$person->name = $_POST['name'];
$person->age = $_POST['age'];
$person->save();

它工作得很好，但它可能无法抵御 SQL 注入(inject)？解决此问题的正确/最佳方法是什么？例子？

Answer 1

来自他们的 readme :

Features

• Built on top of PDO.
• Uses prepared statements throughout to protect against SQL injection attacks.

但是，对于表名it says

Note that this method *does not escape its query parameter and so the table name should not be passed directly from user input.*

同样适用于限制、排序和分组，因此对于那些你需要考虑替代方法(例如只让 ascii-7 字符通过，例如)。如果你需要这样做，限制只是整数，所以你可以做 ctype_digit查看。对于排序和分组，您可以检查字母数字，假设您的列名中没有任何其他内容。这可以用 ctype_alnum 来完成.

但是你在那里的查询应该没问题，因为它没有这些。

当然，你不应该只相信它 - 测试它。