sql - Zend Db 避免 sql 注入(inject)

Question

我有以下代码:

public function checkLoginDetails($email, $password) {
    $select = $this->select ();
    $select->where ( "password=?", md5($password) );
    $select->where ( "email=?", $email );
    return $this->fetchRow($select);

}

电子邮件和密码直接来自用户。我是否需要使用 mysql_real_escape_string 或 Zend DB 来过滤电子邮件？

谢谢!

Answer 1

我是 Zend_Db 的主要开发者，直到 Zend Framework 1.0。

在您显示的示例中，值被插入到查询中，并应用了适当的引号和转义。你不必再做任何事情了。

在内部，它使用 Zend_Db_Adapter 的 PHP 扩展中内置的引用函数。你正在使用。例如。 PDO::quote() .