Codeigniter，安全搜索的最佳實踐

Question

我正在使用 codeigniter，目前我正在進行全身搜索，我想知道執行此操作的最佳做法是什么。 現在我有這個：

$keyword = $this->db->escape_like_str(trim($_POST['keyword']));

之后，執行搜索。 這是安全的還是我需要做更多的事情（XSS 過濾打開）？

Answer 1

因為您直接訪問 _POST 變量，所以您繞過了所有 CI 的 XSS/轉義和安全功能。 你應該得到它作為：

$this->input->post('keyword');

這會被 CI 自動轉義，您可以在將其扔到數據庫之前執行其他驗證。 此外，如果您使用active record ，那么所有值也會根據需要自動轉義。