从yii中的sql注入更新安全

Question

您能否告诉这两个代码片段在yii中是否安全。 香精1：

 $numberOfRows = $this->updateAll(array('full_path' => $target, 'title' => $name,                'machine_name' => $name), 'full_path = :path', array(':path' => $path));

我应该在此查询中转义$ target和$ name吗？

片段2：

$sql = "UPDATE folders";
$sql .= " SET full_path = CONCAT('" . $target . "',SUBSTR(full_path, " . (strlen($path)  + 1) . ", LENGTH(full_path)-1))";
$sql .= " WHERE full_path LIKE '" . $path . "%'";
$command = $this->dbConnection->createCommand($sql);
$command->execute();

我应该在这里使用CDbConnection :: quoteValue（）还是这两个片段中的类似内容来转义$ target和full_path？ 我还介绍了一种如何在Fragment 2中转义路径，以避免与LIKE（％，_）一起使用的特殊符号的问题。

我使用绑定和转义％_对片段2进行了更改：

$sql = "UPDATE folders";
$sql .= " SET full_path = CONCAT(:target, SUBSTR(full_path, " . (strlen($path) + 1) . ", LENGTH(full_path)-1))";
$sql .= " WHERE full_path LIKE  :pathFilter";
$command = $this->dbConnection->createCommand($sql);

//escape %_ that can be used in SQL LIKE expression
$pathFilter = addcslashes($path, '%_') . '%';

$command->bindParam(":pathFilter", $pathFilter, PDO::PARAM_STR);
$command->bindParam(":target", $target, PDO::PARAM_STR);

$command->execute();

这是正确的吗？ 有更优雅的方法吗？

Answer 1

说到更优雅的方式，您总是可以避免使用命名参数，这将大大缩短代码：

$sql  = "UPDATE folders SET";
$sql .= " full_path = CONCAT(?, SUBSTR(full_path, ?, LENGTH(full_path)-1))";
$sql .= " WHERE full_path LIKE ?";

//escape %,_ and \ that can be used in SQL LIKE expression
$pathFilter = addcslashes($path, '\%_') . '%'; // I've added a slash here

$command = $this->dbConnection->createCommand($sql);
$command->execute([$target, strlen($path) + 1, $pathFilter]);

Answer 2

您有两种选择：

a）使用模型对象，例如，在您的情况下，您可以为要插入/更新数据的文件夹表和任何其他关联表提供模型类。 这将帮助您使用一组模型（如果适合您）。 Model类具有内置函数，可在插入数据库之前验证数据。 例如CActiveRecord保存方法 。有关相关安全性的详细信息，请进一步阅读

使用假设您拥有Folder模型：

 $path='path to be updated';
 $criteria=new CDbCriteria;
  $criteria->compare('full_path',$path,true);
  $folder=Folder::model()->find($criteria);
  if($folder){
   $folder->attributes=$data;
    if($folder->save()){
      echo 'updated successfully';
    }else{
      echo 'invalid data';
    }
  }

b）如果不需要创建模型类，请使用“ 绑定参数 详细信息”一文 ，请参阅＃5绑定参数

假设您构造了$ full_path和$ path变量

  //$full_path=[construct using php]
  //$path=[construct using php]
  $sql = "UPDATE folders SET full_path = :newPath  WHERE full_path LIKE :oldPath"
  $command = $this->dbConnection->createCommand($sql);
  $command->bindParam(":newPath", $full_path, PDO::PARAM_STR);
  $old_path=addcslashes($path,'%_').'%'; 
  $command->bindParam(":oldPath", $old_path, PDO::PARAM_STR);
  $command->execute();

希望这会有所帮助