Tôi có cần phải khử trùng đầu vào của người dùng Laravel

Question

Tôi đang sử dụng Laravel 4 với Eloquent. Khi tôi nhận được đầu vào người sử dụng tôi chỉ sử dụng $name=Input::get('name') và sau đó tôi làm $a->name=$name;

Tôi không biết nếu chức năng Input::get bảo vệ tôi khỏi SQL Injection và XSS. Nếu không, tôi phải làm gì để vệ sinh đầu vào?

Và, khi tôi thấy giá trị trong quan điểm của tôi, tôi sẽ sử dụng {{$a}} hoặc {{{$a}}}

Chúc mừng và cảm ơn.

Answer 1

Laravel sử dụng tham số PDO của ràng buộc, do đó SQL injection không phải là điều bạn nên lo lắng trong khoảng. Bạn nên đọc this.

Nhập :: get() không lọc bất kỳ thứ gì.

Dấu ngoặc nhọn ba giống như e() và HTML :: entity(). Tất cả đều gọi htmlentities có hỗ trợ UTF-8:

htmlentities($your_string, ENT_QUOTES, 'UTF-8', false); 

Answer 2

Bạn nên sử dụng {{{$a}}} vì ví dụ: Phương thức nhập có thể có thẻ HTML. Laravel sẽ không lọc nó.

Để tránh SQL injection bạn nên sử dụng ràng buộc thông số của bạn truy vấn chạy như:

$var = 1; 
$results = DB::select('select * from users where id = ?', array($var)); 

và không:

$results = DB::select('select * from users where id = '.$var);