Laravel 查询生成器：此命令是否可以免于 SQL 注入？

Question

前段时间我在 Stackoverflow 上读到了一个公认的答案，该答案声称select("sql query")可以免于 SQL 注入，而select(raw("sql query"))不是。 就我而言，我有以下代码：

$request; // Illuminate\Http\Request

DB::connection('default')->select("
    SELECT *
    FROM `some_table`
    WHERE `some_col` = '$request->some_val'
");

该命令是否可以免于 SQL 注入？ 如果是，我无法理解查询构建器如何知道如何准备语句？ ：思维：

Answer 1

对于不允许 sql 注入，您必须使用此代码

DB::::connection('default')
    ->select('SELECT * FROM `some_table` WHERE `some_col` = ?', [$request->some_val]);

Answer 2

你应该使用：

DB::connection('default')->select("
    SELECT *
    FROM `some_table`
    WHERE `some_col` = ?
", [$request->some_val]);

避免SQL注入。

你可以阅读：

参数绑定提供针对 SQL 注入的保护。

在文档页面上。

如果您按照问题中所示执行 SQL 查询，则您可能会遭受 SQL 注入。

Answer 3

Laravel 查询构建器使用 PDO 参数绑定来保护您的应用程序免受 SQL 注入攻击。 无需清理作为绑定传递的字符串。

您可以参考以下链接：

Laravel Eloquent：SQL 注入预防是自动完成的吗？ https://laravel.com/docs/5.6/queries#introduction