Laravel 5路由获取参数SQL注入

Question

我有这样的路线

Route::get('/car-{travelType}/{cityFrom}-{cityTo}-{id}.html','ArticleController@getDetail')->name('articles_detail');

在我的控制器中，我捕获了这样的参数

public function getDetail($cityFrom, $cityTo, $id, Request $request)
{
    $article_detail = DB::select("CALL article_detail(?,?,?)", [$cityFrom,$cityTo,$id]);
    return $article_detail;
}

这可以正常工作，但是由于路由发送了原始参数，因此该查询会出现 sqlinjection 问题。

在 post 请求中，我可以捕获像 $request->input('some_fields') 这样的请求，laravel 会在屏幕后面保护我，但不能在 get 请求中。

我该如何解决这个问题？

Answer 1

您也可以在 Get 请求中使用 $request->get('somefield')

www.site.com/page?somefield=value

在这种情况下，当你接受 $request->get('somefield') 它应该给你“价值”

所以在你的情况下：

www.site.com/page?travel-type=foo&city-from=berlin&city-to=munich&id=1

$request->get('travel-type'); // foo
$request->get('city-from');   // berlin
$request->get('city-to');     // munich
$request->get('id');          // 1