Sử dụng các phương pháp Magento để viết các truy vấn chèn với sự chăm sóc cho SQL Injection

Question

Tôi đang sử dụng chức năng của Magento để chèn các truy vấn cập nhật &. Yêu cầu của tôi là tôi muốn quản lý SQL Injection, khi thực hiện các loại truy vấn này. Nhưng tôi không thể tìm ra cách Magento thực hiện điều này. Tôi đang cung cấp một mẫu bắt đầu. Vui lòng cung cấp cho tôi một ví dụ hoàn chỉnh.

<?php 
$write = Mage::getSingleton("core/resource")->getConnection("core_write"); 
$sql = "INSERT INTO Mage_Example (Name, Email, Company, Description, Status, Date) 
    VALUES ('$name', '$email', '$company', '$desc', '0', NOW())"; 
?> 

Bây giờ tôi muốn thay đổi truy vấn trên để ngăn SQL Injection có thể xảy ra. Tôi không muốn sử dụng chức năng mặc định "mysql_real_escape_string()" của PHP. Ai có thể vui lòng cung cấp cho tôi một giải pháp hữu ích, sử dụng trình xử lý DB "$write".

Bất kỳ trợ giúp nào được đánh giá cao.

Answer 1

Được rồi, nghiên cứu vấn đề này một chút. Nếu bạn có thể nhận được một thể hiện của một DB_Adapter (mà tôi tin rằng cuộc gọi tài nguyên sẽ trở lại), điều này không nên quá khó khăn. Sâu bên trong, Magento dựa trên khung công tác Zend và bộ điều hợp DB đặc biệt là hậu duệ của Zend_Db_Adapter, vì vậy bạn có thể sử dụng những phương pháp đó miễn phí. Xem các liên kết trước khi để biết thêm ví dụ, nhưng đây là cú pháp được cung cấp trong tài liệu, mà nên thoát đầu vào của bạn automagically:

$write = Mage::getSingleton("core/resource")->getConnection("core_write"); 

// Concatenated with . for readability 
$query = "insert into mage_example " 
     . "(name, email, company, description, status, date) values " 
     . "(:name, :email, :company, :desc, 0, NOW())"; 

$binds = array(
    'name' => "name' or 1=1", 
    'email' => "email", 
    'company' => "company", 
    'desc' => "desc", 
); 
$write->query($query, $binds); 

Một lần nữa, xem tài liệu cho biết thêm thông tin.

---

UPDATE:

Tôi đã thay đổi ví dụ trên. Đối tượng mà bạn lấy lại với yêu cầu core_write của bạn là một đối tượng PDO cho thấy phương thức query (xem ở trên) sẽ cho phép bạn sử dụng các truy vấn được tham số hóa. Đây là BY FAR một cách tiếp cận tốt hơn so với cố gắng sử dụng một cái gì đó như mysql_real_escape_string cho vệ sinh dữ liệu, và tôi đã kiểm tra mã trên cho đúng đắn. Lưu ý rằng, trái ngược với hầu hết các truy vấn được tham số hóa MySQL, ràng buộc được thực hiện với: nhãn, và cũng là bạn không cần trích dẫn cho các vars của bạn.

Để trả lời cho điểm khác của bạn và như được lưu ý bên dưới, cách "đúng" để thực hiện trong Magento không phải là sử dụng truy vấn trực tiếp. Các mô hình đối tượng Magento đang phát triển tốt và có nghĩa là trừu tượng hóa loại chi tiết triển khai này khỏi bạn, bởi vì bạn không cần phải quan tâm đến chính mình với nó. Để làm điều đó "chính xác", hãy tạo một mô hình dựa trên cơ sở dữ liệu mới và lưu các nhức đầu.

Answer 2

tôi đoán thoát tên $, $ email và các biến khác sẽ là đủ.

hãy xem chức năng mysql_real_escape_string.

Answer 3

Trong tệp tài nguyên.

public function saveToTable($param){ 

$table = $this->getMainTable(); 

$this->_getWriteAdapter->insert($table,array(
      'col_1'=>$param['data1'] 
      'col_2'=>$param['data2'] 
      'col_3'=>$param['data3'] 
    )); 
} 

trả về số hàng bị ảnh hưởng.

Answer 4

Tôi đang sử dụng này để chèn nhiều hàng vào bảng

$table = Mage::getSingleton('core/resource')->getTableName('table_name'); 
$rows = array(
    array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value'), 
    array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value') 
); 

public function insertRows($table,$rows) 
{ 
    $write = Mage::getSingleton('core/resource')->getConnection('core_write'); 
    $write->insertMultiple($table,$rows); 
}