保护我的 zend_db_select 插入语句

Question

我使用 zend_db_select 类作为我的 sql 包装器。我想知道以下插入语句是否安全。 （是否提供防止sql注入等机制）

function createNew($message,$tags,$userid,$imgsrc){
    $data = array('message' => $message,
                      'tags' => $tags,
                      'imgsrc' => $imgsrc,
                      'createdtimestamp'=>new Zend_Db_Expr('NOW()'),
                      'userid' => $userid);   
    $this->dbo->insert('data', $data);
    return $this->dbo->lastInsertId();
}

我尝试用一​​些引号在表格中插入一行，但它没有被 \ 转义，我是不是太担心了，还是 phpmyadmin 自动删除了 \ 以便于查看？使困惑。我在某处读到 zend_db_select 适合这样的 sql 注入。

建议赞赏。谢谢

Answer 1

是的，这是安全的。 Zend DB 使用prepared statements，因此数组的每个值都会使用适当的机制自动转义。

如果您查看数据库的内容（例如，使用 phpMyAdmin 之类的工具），您应该永远不会在其中看到转义的引号，这就是转义数据的重点。如果您插入字符串O'Reilly，这就是您的数据库中的内容。

编辑：考虑这个查询：

INSERT INTO users (name) VALUES ('John O'Reilly')

这不起作用并且会给你一个 SQL 语法错误，因为 SQL 解析器会将第二个 ' 视为列值的结尾，然后当它看到后面的字符时会窒息。所以你逃避需要逃避那句话：

INSERT INTO users (name) VALUES ('John O\'Reilly')

反斜杠告诉它将后面的撇号视为文字（即不要将其视为列值的结尾）。 反斜杠本身永远不会插入到数据库中。 This is an escape character，这是计算中的常见做法。