使用 Magento 方法编写插入查询并小心 SQL 注入

Question

我正在使用 Magento 的功能来插入 &更新查询。我的要求是在执行这些类型的查询时要处理 SQL 注入。但我无法找到 Magento 是如何做到这一点的。我提供一个起始样本。请给我提供一个完整的例子。

<?php
$write = Mage::getSingleton("core/resource")->getConnection("core_write");
$sql = "INSERT INTO Mage_Example (Name, Email, Company, Description, Status, Date)
    VALUES ('$name', '$email', '$company', '$desc', '0', NOW())";
?>

现在我想更改上面的查询以防止可能的 SQL 注入。我不想使用 PHP 默认的“mysql_real_escape_string()”内置函数。任何人都可以使用“$write”数据库处理程序为我提供一个有用的解决方案。

非常感谢任何帮助。

Answer 1

好吧，稍微研究一下这个。如果您可以获得 DB_Adapter 的实例（我相信资源调用会返回），那么这应该不会太难。在内心深处，Magento 基于 Zend Framework，而 DB 适配器具体源自 Zend_Db_Adapter，这样你就可以免费使用这些方法。请参阅之前的链接以获取更多示例，但这里是文档中提供的语法，它应该自动转义您的输入：

$write = Mage::getSingleton("core/resource")->getConnection("core_write");

// Concatenated with . for readability
$query = "insert into mage_example "
       . "(name, email, company, description, status, date) values "
       . "(:name, :email, :company, :desc, 0, NOW())";

$binds = array(
    'name'    => "name' or 1=1",
    'email'   => "email",
    'company' => "company",
    'desc'    => "desc",
);
$write->query($query, $binds);

再次，请参阅文档以获取更多信息。

---

更新：

我更改了上面的示例。通过 core_write 请求返回的对象是一个 PDO 对象，它公开了一个 query 方法（见上文），该方法将允许您使用参数化查询。到目前为止，这是比尝试使用 mysql_real_escape_string 之类的数据清理更好的方法，并且我已经测试了上述代码的正确性。请注意，与大多数 MySQL 参数化查询相比，绑定是通过 :labels 完成的，而且您的变量不需要引号。

针对您的另一点，如下所述，在 Magento 中执行此操作的“正确”方法是根本不使用直接查询。 Magento 对象模型开发得很好，旨在将这种实现细节从您手中抽象出来，因为您不需要关心它。要“正确”地做到这一点，请创建一个新的基于数据库的模型并避免麻烦。

Answer 2

我用它向表中插入多行

$table = Mage::getSingleton('core/resource')->getTableName('table_name');
$rows = array(
   array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value'),
   array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value')
);

public function insertRows($table,$rows)
{
   $write = Mage::getSingleton('core/resource')->getConnection('core_write');
   $write->insertMultiple($table,$rows);
}

Answer 3

在资源文件中。

public function saveToTable($param){

$table = $this->getMainTable(); 

$this->_getWriteAdapter->insert($table,array(
          'col_1'=>$param['data1']
          'col_2'=>$param['data2']
          'col_3'=>$param['data3']
      ));
}

返回受影响的行数。

Answer 4

我想转义 $name、$email 和其他变量就足够了。

看一下 mysql_real_escape_string 函数。