php - 我是否需要清理 Laravel 中 DB::query 调用的用户输入？

Question

阅读 Laravel documentation我看到:

Note: The Laravel query builder uses PDO parameter binding throughout to protect your application against SQL injection attacks. There is no need to clean strings being passed as bindings.

如果我仅按以下方式制作查询，这仍然适用吗？

DB::query("SELECT * from table WHERE id like " . $id);

Answer 1

让我们看看这句话并强调关键短语:

There is no need to clean strings being passed as bindings.

在您的示例中，$id没有作为绑定(bind)传递，它只是被注入(inject)到原始 SQL 中，因此它不 protected 。

您应该遵循防止 SQL 注入(inject)的标准做法:

• 在这种情况下，输入始终是整数，您可以使用 intval($id)
• 您可以获得底层 PDO对象 DB::getPdo()/DB::getReadPdo()并使用PDO::quote()正确转义字符串
• 虽然文档相当糟糕，但 Laravel 的 DB Facade 可以运行完全参数化的查询，例如 DB::select('SELECT * FROM users WHERE users.id = ?', array($userId));

参数化查询通常被认为是注入(inject)预防的黄金标准，并且是当您使用查询构建器时 Eloquent 在内部使用的内容。这个想法是，您首先向数据库(或者至少是数据库驱动程序)提供完整的查询，根本不需要用户输入，因此毫无疑问应该使用哪些表和列。然后，您将用户输入作为完全独立的数据传入，这些数据实际上从未写入 SQL，而只是应用于您已发送的查询。

不过，参数化查询并不能为您做所有事情 - 例如，大多数库 including PDO, can't bind a table or column name as a parameter 。这是因为它每次运行时实际上都会创建一个不同的查询，从而否定了查询和数据之间的分离。如果您想这样做，则需要一些其他方法来确保安全 - 通常，允许值的白名单是最好的主意。