使用 Zend_Db 类避免 MySQL 注入

Question

我目前使用 Zend_Db 来管理我的查询。 我已经编写了执行如下查询的代码：

$handle->select()->from('user_id')
                   ->where('first_name=?', $id)
                   ->where('last_name=?', $lname)

我在没有清理输入的情况下完成了此操作，假设 Zend_Db 会这样做。 Zend有这个功能吗？

另一个问题： Zend_Db 是否清理 insert('table', $data) 和 update 查询？

谢谢。

Answer 1

当我担任该项目（直到版本 1.0）的团队负责人时，我在 Zend Framework 中编写了很多数据库参数和引用的代码。

我试图尽可能鼓励最佳实践，但我必须在易用性之间取得平衡。

请注意，您始终可以检查 Zend_Db_Select 对象的字符串值，以了解它如何决定进行引用。

print $select; // invokes __toString() method

您还可以使用 Zend_Db_Profiler 来检查 Zend_Db 代表您运行的 SQL。

$db->getProfiler()->setEnabled(true);
$db->update( ... );
print $db->getProfiler()->getLastQueryProfile()->getQuery(); 
print_r $db->getProfiler()->getLastQueryProfile()->getQueryParams(); 
$db->getProfiler()->setEnabled(false);

以下是针对您的具体问题的一些答案：

• Zend_Db_Select::where('last_name=?', $lname)

  值被适当引用。 尽管“?”看起来像参数占位符，但在此方法中，参数实际上被适当地引用并插入。 所以它不是真正的查询参数。 事实上，以下两条语句产生与上述用法完全相同的查询：

  $select->where( $db->quoteInto('last_name=?', $lname) ); 
    $select->where( 'last_name=' . $db->quote($lname) ); 
    

  但是，如果您传递的参数是 Zend_Db_Expr 类型的对象，则它不会被引用。 您需要承担 SQL 注入风险，因为它是逐字插入的，以支持表达式值：

  $select->where('last_modified < ?', new Zend_Db_Expr('NOW()')) 
    

  该表达式中需要引用或分隔的任何其他部分是您的责任。 例如，如果您将任何 PHP 变量插入到表达式中，安全性就是您的责任。 如果您的列名是 SQL 关键字，则需要使用 quoteIdentifier() 自行分隔它们。 示例：

  $select->where($db->quoteIdentifier('order').'=?', $myVariable) 
    

• Zend_Db_Adapter_Abstract::insert( array('colname' => 'value') )

  表名和列名是分隔的，除非您关闭AUTO_QUOTE_IDENTIFIERS。

  值被参数化为真实的查询参数（未插值）。 除非该值是 Zend_Db_Expr 对象，在这种情况下，它是逐字插值的，因此您可以插入表达式或 NULL 或其他内容。

• Zend_Db_Adapter_Abstract::update( array('colname' => 'value'), $where )

  表名和列名是分隔的，除非您关闭AUTO_QUOTE_IDENTIFIERS。

  值是参数化的，除非它们是 Zend_Db_Expr 对象，如 insert() 方法中那样。

  $where 参数根本没有被过滤，因此您需要对其中的任何 SQL 注入风险负责。 您可以使用 quoteInto() 方法来帮助使引用更加方便。

Answer 2

是的。 请参阅 http://framework.zend.com/manual/en/zend .db.select.html 。 不用担心。 你的怀疑是对的。

Answer 3

默认情况下，当您在 SQL 查询中使用值绑定时，如下所示：

where('first_name=?', $id);

Zend_Db 使用适当的值引用来防止 SQL 注入。 尽管强烈建议（通过书籍、文章、手册和自身经验）清理/过滤用户输入。 Zend_Filter 非常有帮助。

Answer 4

应该让您感到安全的一点是？ where 子句中的标记。 这些是参数，由数据库系统安全地替换为第二个参数。

Answer 5

当您在其他地方需要它（例如在 join 中）或者您不确定它是否会被转义时，您始终可以使用 $this->getAdapter()->quoteInto('type = ?',1);

Answer 6

过滤输入总是好的，因为它很可能会进入数据库以外的其他地方，并且您至少希望数据库中的数据在某种程度上保持正常。

• Zend_Filter_Input 在
• 准备好的语句中（如果不在准备好的语句中，则为 quoteInto）
• 在退出的路上转义过滤器（htmlentities 等）。

Answer 7

关于这一点的一件事是，当值为 NULL 时，您可以实现无效查询

$value = NULL;
$select->where('prop=?', $value);

结果：SQL 错误