Codeigniter：update_batch 未转义字段名称

Question

我正在尝试使用 Codeigniter 中 Active Record 帮助程序中的 update_batch() 函数，如下所示：

var_dump($data);
$this->db->where('event_id',$data['event_id']);
$this->db->update_batch('results',$data['results'],'uid');
echo $this->db->last_query();

这会打印出以下内容：

array(2) {
  ["event_id"]=>
  string(2) "11"
  ["results"]=>
  array(2) {
    [0]=>
    array(2) {
      ["uid"]=>
      string(36) "1beab26d-f705-11e0-a190-f46d048dfd25"
      ["res"]=>
      string(1) "2"
    }
    [1]=>
    array(2) {
      ["uid"]=>
      string(36) "9dcc9e0a-bf24-11e0-838c-f46d048dfd25"
      ["res"]=>
      string(1) "1"
    }
  }
}
UPDATE results SET res = CASE 
WHEN uid = '1beab26d-f705-11e0-a190-f46d048dfd25' THEN '2'
WHEN uid = '9dcc9e0a-bf24-11e0-838c-f46d048dfd25' THEN '1'
ELSE res END WHERE `event_id` = '11' AND uid IN ('1beab26d-f705-11e0-a190-f46d048dfd25','9dcc9e0a-bf24-11e0-838c-f46d048dfd25')

显然，这是一个很大的安全漏洞，因为字段和表名称没有被从 update_batch 部分转义（尽管它们在 where 部分转义）。我做错了什么吗？文档中未指定此行为：

http://codeigniter.com/user_guide/database/ active_record.html#update

Answer 1

嗯，根据 update_batch() 函数的文档，他们只是声称

“值会自动转义，产生更安全的查询”

，我认为这意味着字段和表名不受保护。

但在“查询”页面，他们有点矛盾地说：

在许多数据库中，建议保护表名和字段名 -
例如 MySQL 中的反引号。活动记录查询是
自动保护，但是如果您需要手动保护
您可以使用的标识符：

$this->db->protect_identifiers('table_name');

IIRC 是的，AR 总是将名称用反引号括起来（这就是为什么您通常需要将 FALSE 传递给活动记录方法，如果您不想转义弄乱您的查询部分）。

编辑：

嗯，我只是快速浏览了一下代码，看起来它被转义了：

// Batch this baby
for ($i = 0, $total = count($this->ar_set); $i < $total; $i = $i + 100)
{
   $sql = $this->_update_batch($this->_protect_identifiers($table, TRUE, NULL, FALSE), array_slice($this->ar_set, $i, 100), $this->_protect_identifiers($index), $this->ar_where);

   $this->query($sql);
}

所以，可能真的是一个错误；到目前为止，如果您的表名不是动态生成的，您可以简单地忽略它，无论如何都是安全的；或者您可以运行 protect_identifiers() 方法并自己执行此操作（原则上是错误的，但是嘿...）。

您可以多次尝试重现该错误，然后提交错误报告< /a>