sql - Zend Framework SQL 注入(inject)保护

Question

我正在查看与我一起工作的开发人员正在使用的一些 Zend Framework 代码，我在其中看到以下内容:

$select = new Zend_Db_Select($DB);
$sql = $select->where("id ='".$id."'");             

现在，$id 没有在任何地方被净化，我的印象是如果你使用占位符，你只能通过 Zend 受到保护免受注入(inject)——我认为这个字符串是易受攻击的。

代码的作者声称即使在这种情况下 zend 也会处理它，尽管我在文档中找不到这样说的地方。

如果这实际上是安全的，谁能澄清一下？

Answer 1

你是对的。其他开发者弄错了。

如果您查看文档 here如果参数来自用户输入，您可以在页面底部找到评论，讨论示例 #20 是否会受到 SQL 注入(inject)。示例 #20 或多或少与您粘贴的代码执行相同的操作。 (虽然，你的代码有单引号，但这当然不会让它更安全。)

我不知道为什么有人会无视占位符而支持这种不安全且不太干净的编写方式。