防止使用Laravel为批量准备的原始查询进行SQL注入

Question

这是我的查询：

$last = count($list)-1;

$sql = 'INSERT INTO table (col1, col2, col3) VALUES ';
for($i=0; $i<$last; $i++) {
    $sql .= '("'. $list[$i]['col1'] .'", "'. $list[$i]['col2'] .'", '. $list[$i]['col3'] .'), ';
}
$sql .= '("'. $list[$last]['col1'] .'", "'. $list[$last]['col2'] .'", '. $list[$last]['col3'] .') ';
$sql .= 'ON DUPLICATE KEY UPDATE ';
for($i=0; $i<$last; $i++) {
    $sql .= 'col3 = '. $list[$i]['col3'] .', ';
}
$sql .= 'col3 = '. $list[$last]['col3'];

DB::statement($sql);

没有PHP的查询：

INSERT INTO table (col1, col2, col3) VALUES
    ( $list[$i]['col1'] , $list[$i]['col2'] , $list[$i]['col3'] ),
    ...
    ( $list[$i]['col1'] , $list[$i]['col2'] , $list[$i]['col3'] )

ON DUPLICATE KEY UPDATE
    col3 = $list[$i]['col3'],
    ...
    col3 = $list[$i]['col3'];

我看着这个和这个 。 对我来说还不清楚我应该怎么做。 我应该这样吗？

DB::connection()->getPdo()->quote($sql);

我也读过您可以按照以下方式做一些事情：

DB::escape($sql)

防止使用Laravel进行上述查询的SQL注入的最佳和最简便方法是什么？

Answer 1

防止SQL注入的最佳和最简单的方法是使用参数化查询 。 对于批量插入该如何做，已经回答了很多次，例如，这里： 用PDO准备好的语句插入多行

编辑：

为了清楚起见，要在Laravel中执行参数化查询，您需要

DB::insert($query, $params);

在纯PDO中答案在哪里

$stmt = DB::getInstance()->prepare($query);
$stmt->execute($params);

已经准备好如何准备用于批量插入的$query和$params这个问题，为正反两方面进行了广泛讨论，并且出现了一些针对极端情况的替代解决方案。 请阅读它们并了解其工作原理。

Answer 2

我认为就是这样，除非有人可以用纯粹的口才来做到这一点。 希望这可以帮助其他尝试做类似事情的人。

由于我将col1 + col2用作键，因此必须创建一个复合唯一键，如下所示：

CREATE UNIQUE INDEX col1_col2 ON table (col1, col2)

这是给后代的：

$last = count($list)-1;

$sql = 'INSERT INTO table (col1, col2, col3) VALUES ';
$values = [];

for($i=0; $i<$last; $i++) {
    $sql .= '( ?, ?, ? ), ';
    $values[] = $list[$i]['col1'];
    $values[] = $list[$i]['col2'];
    $values[] = $list[$i]['col3'];
}
$sql .= '( ?, ?, ? ) ';
$values[] = $list[$last]['col1'];
$values[] = $list[$last]['col2'];
$values[] = $list[$last]['col3'];

$sql .= 'ON DUPLICATE KEY UPDATE ';
$sql .= 'col3 = VALUES(col3)';

DB::statement($sql, $values);

干杯!

Answer 3

使用原始查询时看起来像一个问题。 找到了一篇很棒的文章，并希望将其传递给其他可能需要的人。 http://fideloper.com/laravel-raw-queries

Laravel确实使用了如Barry所述的准备好的语句，但是看起来您需要在绑定数组中专门传递变量，以使原始查询能够做到这一点。

 $someVariable = Input::get("some_variable");

$results = DB::select( DB::raw("SELECT * FROM some_table WHERE some_col = :somevariable"), array(
   'somevariable' => $someVariable,
 ));