这个小Doctrine2动态SQL注入足够安全吗？

Question

我知道使用像 Doctrine2 这样的 ORM 来构建查询是安全的，这意味着默认情况下会转义参数。

但我猜这并不是那么明显当使用文字时并且当这个文字直接来自查询字符串时：

    $builder = $this->getRepository()->createQueryBuilder('e');
    $request = $this->getRequest();

    // Loop each allowed filter field and check if exists in $request
    foreach($this->getFilterFields() as $filter) :

        // Skip falsy values in $request
        if(!$value = $request->get($filter)) continue;

        // Add OR LIKE %$value% where $value is GET paramter
        $like = $builder->expr()->literal("%$value%");
        $builder->orWhere($builder->expr()->like("e.$filter", $like));

    endforeach;

是否应该以某种方式提高安全性？

Answer 1

$queryBuilder->expr 返回一个 ExpressionBuilder 对象。在 ExpressionBuilder 中，我们发现：

public function literal($input, $type = null)
{
    return $this->connection->quote($input, $type);
}

所以文字确实会被引用并且应该可以使用。

我们还发现：

public function like($x, $y)
{
    return $this->comparison($x, 'LIKE', $y);
}
public function comparison($x, $operator, $y)
{
    return $x . ' ' . $operator . ' ' . $y;
}

$y 很好，因为它首先通过文字。确实要小心$x。只要您的 filterFields 是内部的，就没有问题。如果它们来自用户，那么您需要确保它们是有效的。