雷林鹏分享：CodeIgniter 转义查询

亦凉 2022-01-11 06:09 283阅读 0赞

CodeIgniter 框架提供了 Active Record 模式来对数据库进行操作，自己也比较喜欢这种操作数据库的方式，因为通过这种方式进行数据库操作系统会自动对数据进行转义过滤，可以帮助我们进行安全的数据库操作。

但是Active Record 在数据查询方面个人觉得反而没有直接自己书写SQL语句来得方便，不好的就是使用自己的SQL语句进行查询系统默认没有对数据进行一些安全方面的操作，需要我们自己手动去进行一些安全过滤操作，这时我们就需要使用到转义查询。

将数据转义以后提交到你的数据库是非常好的安全做法，CodeIgniter 提供了 3 个函数帮助你完成这个工作。

1、$this->db->escape() 这个函数将会确定数据类型，以便仅对字符串类型数据进行转义。并且，它也会自动把数据用单引号括起来，所以你不必手动添加单引号

用法如下：

$sql = "INSERT INTO table (title) VALUES(".$this->db->escape($title).")";

查看函数源码：

function escape($str)

\{

if (is\_string($str))

\{

$str = "'".$this->escape\_str($str)."'";

\}

elseif (is\_bool($str))

\{

$str = ($str === FALSE) ? 0 : 1;

\}

elseif (is\_null($str))

\{

$str = 'NULL';

\}

return $str;

\}

2、$this->db->escape\_str() 此函数将忽略数据类型对传入数据进行转义。更多时候你将使用上面的函数而不是这个。

这个函数的使用方法是：

$sql = "INSERT INTO table (title) VALUES('".$this->db->escape\_str($title)."')";

查看函数源码：

/\*\*

\* Escape String

\*

\* @access public

\* @param string

\* @param bool whether or not the string will be used in a LIKE condition

\* @return string

\*/

function escape\_str($str, $like = FALSE)

\{

if (is\_array($str))

\{

foreach ($str as $key => $val)

\{

$str\[$key\] = $this->escape\_str($val, $like);

\}

return $str;

\}

if (function\_exists('mysql\_real\_escape\_string') AND is\_resource($this->conn\_id))

\{

$str = mysql\_real\_escape\_string($str, $this->conn\_id);

\}

elseif (function\_exists('mysql\_escape\_string'))

\{

$str = mysql\_escape\_string($str);

\}

else

\{

$str = addslashes($str);

\}

// escape LIKE condition wildcards

if ($like === TRUE)

\{

$str = str\_replace(array('%', '\_'), array('\\\\%', '\\\\\_'), $str);

\}

return $str;

\}

3、$this->db->escape\_like\_str() This method should be used when strings are to be used in LIKE conditions so that LIKE wildcards ('%', '\_') in the string are also properly escaped.

使用示例：

$search = '20% raise';

$sql = "SELECT id FROM table WHERE column LIKE '%".$this->db->escape\_like\_str($search)."%'";

查看源码：

function escape\_like\_str($str)

\{

return $this->escape\_str($str, TRUE);

\}

我们可以看到，第一种和第三种方法其实都是调用了第二种方法。

文章转载自 \[http://www.php230.com\](编辑：雷林鹏 来源：网络 侵删)

转载于:https://www.cnblogs.com/linpeng1/p/10869099.html

发表评论取消回复

表情：

评论列表（有 0 条评论，283人围观）

还没有评论，来说两句吧...

相关阅读

相关雷林鹏分享：CodeIgniter 防止XSS攻击

　　CodeIgniter 包含了跨站脚本攻击的防御机制，它可以自动地对所有POST以及COOKIE数据进行过滤，或者您也可以针对单个项目来运行它。默认情况下，它不会全局运

约定不等于承诺〃/ 2022年01月11日 06:11/ 0 赞/ 250 阅读

相关雷林鹏分享：CodeIgniter 转义查询

　　CodeIgniter 框架提供了 Active Record 模式来对数据库进行操作，自己也比较喜欢这种操作数据库的方式，因为通过这种方式进行数据库操作系统会自动对数据进

亦凉/ 2022年01月11日 06:09/ 0 赞/ 284 阅读

相关雷林鹏分享：nginx下配置CodeIgniter环境

　　刚才在MAC下配置codeigniter框架测试环境的时候，在访问一些URL时候出现了404错误，这主要是由于nginx对于PATH\_INFO的支持造成的。　　这里先

约定不等于承诺〃/ 2021年12月22日 12:55/ 0 赞/ 266 阅读

相关雷林鹏分享：PHP $_POST 变量

　　在 PHP 中，预定义的 $\_POST 变量用于收集来自 method="post" 的表单中的值。　　$\_POST 变量　　预定义的 $\_POST 变量用于

蔚落/ 2021年12月22日 12:53/ 0 赞/ 248 阅读

相关雷林鹏分享：PHP 数组

　　数组能够在单个变量中存储多个值：　　　　$cars=array("Volvo","BMW","Toyota"); 　　echo "I like " . $cars

今天药忘吃喽~/ 2021年12月22日 12:53/ 0 赞/ 297 阅读

相关雷林鹏分享：CSS 字体

　　CSS字体属性定义字体，加粗，大小，文字样式。　　serif和sans-serif字体之间的区别 ![Serif vs. Sans-serif][]![Remark]

比眉伴天荒/ 2021年12月01日 16:34/ 0 赞/ 303 阅读

相关雷林鹏分享：CSS 文本格式

　　文本格式　　This text is styled with some of the text formatting properties. The heading u

柔光的暖阳◎/ 2021年12月01日 16:34/ 0 赞/ 282 阅读

相关雷林鹏分享：Lua 函数

　　在Lua中，函数是对语句和表达式进行抽象的主要方法。既可以用来处理一些特殊的工作，也可以用来计算一些值。　　Lua 提供了许多的内建函数，你可以很方便的在程序中调用它们

矫情吗；*/ 2021年12月01日 16:31/ 0 赞/ 229 阅读

相关雷林鹏分享:MySQL 数据类型

　　MySQL中定义数据字段的类型对你数据库的优化是非常重要的。　　MySQL支持多种类型，大致可以分为三类：数值、日期/时间和字符串(字符)类型。　　数值类型　　

梦里梦外;/ 2021年11月22日 05:00/ 0 赞/ 317 阅读

相关雷林鹏分享：Redis HyperLogLog

　　Redis 在 2.8.9 版本添加了 HyperLogLog 结构。　　Redis HyperLogLog 是用来做基数统计的算法，HyperLogLog 的优点是，

亦凉/ 2021年10月18日 18:48/ 0 赞/ 316 阅读