防止SQL注入在ZF

Question

我用下面的代碼

$this->getDb()->fetchRow($sql, $params); 

是從SQL注入免費的嗎？請指導我。我如何使它免費從SQL注入。

Answer 1

1. 使用Zend_Db的類，爲轉義

2. 使用的Zend_Form的的驗證爲了濾波器的輸入值。

3.Uses 準備報表內部儘可能一樣：

// Build this query: 
// SELECT product_id, product_name, price 
// FROM "products" 
// WHERE (price < 100.00 OR price > 500.00) 
// AND (product_name = 'Apple') 
$minimumPrice = 100; 
$maximumPrice = 500; 
$prod = 'Apple'; 
$select = $db->select() 
    ->from('products', 
    array('product_id', 'product_name', 'price')) 
    ->where("price < $minimumPrice OR price > $maximumPrice") 
    ->where('product_name = ?', $prod); 

讀更多在此鏈接：

http://static.zend.com/topics/Webinar-Zend-Secure-Application-Development-with-the-Zend-Framework.pdf