Zend db - 何时应该引用以避免sql注入？

Question

我很困惑当框架自动引用和它不变时quote变量。例如，据我所知，它不会在where子句中引用（除非您使用额外的参数？）。

是否有引导/作弊表单，当我们必须在基本CRUD操作中手动操作quote？

谢谢。

Answer 1

对于我来说，基本的“经验法则”是如下：

• 如果您需要将值插入到字符串中，例如："SELECT * from TABLE WHERE value=$value"您必须先引用它。
• 如果您使用的是占位符，例如$select->where('value = ?', $value');，或一组值如array('value' => $value)，该框架将引用您的价值。

希望它能帮助，

Answer 2

永远不要自己构建查询字符串，总是让Zend_Db为你做。即，不要自行建造的字符串指定的where子句（等）：

$where = 'id = ' . $_REQUEST['id'] . ' and thing = ' . $_REQUEST['thing']; 
$select->where($where); 

而是做到这一点：

$select 
    ->where('id = ?', $_REQUEST['id']) 
    ->where('thing = ?', $_REQUEST['thing']);