codeigniter - 在 codeigniter 中防止 SQL 注入(inject)

Question

在我的项目中，我使用 $this->input->(get|post) 将数据传递给模型。在模型中，我总是使用事件记录。
这足以防止sql注入(inject)吗？

Answer 1

不，不是。 编辑 : 是的...没有看到您对使用事件记录的评论。您需要使用 PHP 或 CodeIgniter 的转义函数手动转义您的输入，或者您应该使用 CodeIgniter 的查询绑定(bind) 或者你可以使用 CodeIgniter 的 Active Record 类 .我更喜欢进行查询绑定(bind)，因为它 a) 使我的查询看起来更好，并且 b) 确保在 MySQL 中运行之前清理我的所有输入。

http://ellislab.com/codeigniter/user_guide/database/queries.html

这像这样工作:

$qStr = "SELECT * FROM students WHERE id=?";
$q = $this->db->query($qStr, array($id);

CodeIgniter 将识别您的变量是什么类型的数据，并相应地包装它。也就是说，如果它是一个字符串，它将把 '和 '围绕 SQL 中的转义值，这是确保用户无法注入(inject)任何恶意内容所需要的。