如何在 CAKEphp 中阻止 sql 注入

Question

如何阻止来自这样的页面的 sql 注入...http://u.neighborrow.com/items/recent

Answer 1

如果您使用 CakePHP 的 ORM 方法（例如 find() 和 save()）和正确的数组表示法（即 array('field' => $value)）而不是原始 SQL，CakePHP 已经可以保护您免受 SQL 注入。为了针对 XSS 进行清理，通常最好将原始 HTML 保存在数据库中而不进行修改，并在输出/显示时进行清理。

这应该能让您很好地了解如何执行此操作。

App::import('Sanitize'); 
class MyController extends AppController {     ...     ... } 

完成此操作后，您可以静态调用 Sanitize。

Answer 2

CakePHP 会处理它。 阅读他们的书 。

Answer 3

仅在需要编写原始查询的极少数情况下才需要清理。

原始查询是：

$this->User->query("select username from users where email='$email_received_from_user_form'");

在执行之前，您需要：

App::import('Sanitize');

$email_received_from_user_form = Sanitize::paranoid($email_received_from_user_form, array('@', '_', '-', '.'));

如果使用正确的数据清理，将删除/编辑查询中的所有恶意字符（无 SQL 注入）。

请参阅此处：http://book.cakephp.org/2.0/ en/core-utility-libraries/sanitize.html

了解有关数据清理的所有信息后，尽量不要使用它。像这样使用 CakePHP 方式：

$this->User->field('username', array('email' => $email_received_from_user_form));

在这种情况下，您根本不必担心 SQL 注入。除非您没有其他选择，否则您永远不应该使用原始查询。