Php on zend，如何為查詢轉義變量？

Question

我在Zend Framework中做了一些查詢，我需要確保在下一種格式中不能進行SQL注入。 我可以使用mysql_escape（已棄用）並且不會完成所有工作。 如果我嘗試使用real_mysql_escape它將無法獲取數據庫的連接，我無法找到zend_filter將如何解決問題。

我正在做的查詢（simplied）有下一個sintaxes：

    $db = Zend_Registry::get('db'); 
    $select = "SELECT COUNT(*) AS num
                FROM message m
                WHERE m.message LIKE '".$username." %'";
    $row = $db->fetchRow($select);

使用此框架阻止SQL INJECTION的最佳方法是什么？

Answer 1

簡單：

$db->quote($username);

所以：

   $username = $db->quote($username . '%');
   $select = 'SELECT COUNT(*) AS num
                                FROM message m
                                WHERE m.message LIKE ' . $username;
   $row = $db->fetchRow($select);

Answer 2

$sql = 'SELECT * FROM messages WHERE username LIKE ?';
$row = $db->fetchRow($sql, $username);

參考 ： http ： //framework.zend.com/manual/en/zend.db.html

Answer 3

使用模型時，您可以使用：

$bugs = new Bugs();
$row = $bugs->fetchRow($bugs->select()->where('bug_id = ?', 1));