SQL注入和Codeigniter

Question

關於Codeigniter及其輸入處理能力的一些懷疑。有些人可能有點奇怪，但他們懷疑無所謂。

1. 如果我在CodeIgniter中使用Active Record類函數，我的輸入是否阻止了SQL注入？
2. 我讀過它的地方，但我不明白它如何？或爲什麼？
3. 此外，xssclean是否以任何方式處理SQL注入？

Answer 1

是我輸入防止被SQL注入？

不完全「自動」，但它確實提供參數化查詢。 CodeIgniter或不，您應該儘可能優先使用參數化查詢來查詢字符串黑客行爲。

$bof= "a'b"; 
$zot= 'a\b'; 

// Insecure! Don't do this! 
// 
$this->db->query("SELECT foo FROM bar WHERE bof='$bof' AND zot='$zot'"); 

// Secure but annoying to write 
// 
$this->db->query("SELECT foo FROM bar WHERE bof='".$this->db->escape($bof)."' AND zot='".$this->db->escape($zot)."'"); 

// This is what you want 
// 
$this->db->query('SELECT foo FROM bar WHERE bof=? AND zot=?', array($bof, $zot)); 

注意這是無關的「輸入」：當你從你的字符串必須使用參數設置使一個SQL查詢或逃往使它們適合，無論它們是否是用戶輸入或沒有。這是一個簡單正確的問題;安全性是這種正確性的副作用。

同樣，當你輸出文本轉換成HTML，你需要HTML編碼<，&和它然後"字符。試圖擺弄輸入來逃避或刪除將來可能會帶來麻煩的字符是絕對沒有用的，如果您恰好在SQL或HTML中使用它們而不逃脫的話。通過在HTML中出現意外的SQL轉義（這就是爲什麼您在糟糕的應用程序中看到自相乘反斜槓的原因）以及SQL中不需要的HTML轉義，您會破壞輸出。如果你從其他地方（比如說，數據庫中已有的材料）以外的地方獲取文本，你根本就沒有受到保護。

xssclean還處理SQL注入的任何方式嗎？

不是。它針對HTML注入。但它的比毫無價值的差。切勿使用它。

「XSS過濾」完全是僞造的（再次，CodeIgniter或其他任何人）。需要通過正確的HTML轉義輸出來防止XSS，而不是改變輸入。 XSS篩選將而不是充分保護您，如果您的應用程序尚不安全;最好它會混淆你現有的缺陷並給你一種錯誤的安全感。它也會破壞CI認爲看起來像標籤的許多有效輸入。

Answer 2

無論何時使用用戶生成的輸入，然後通過輸入庫將其傳遞給xss和sql注入篩選器。

$this->input->post() 

http://codeigniter.com/user_guide/libraries/input.html

做檢查有關安全性的篩選更多信息。

內CI框架檢查文件

Codeigniter->System-libraries->input.php 

文件，你可以在內部找到消毒數據所採用CI功能。

XSS乾淨基本上意味着濾除不必要的XHTML/HTML標籤

Answer 3

1.它，如果你做正確

2.你可能已經注意到，所有的函數調用的方式，用戶數據傳遞在每個變量中。所以你甚至不可能在一個變量中傳遞SQL控制代碼和用戶數據。簡而言之，數據分別封裝在一個變量中。因此它可以安全編碼而不會破壞你的SQL代碼。 但是，如果您傳遞整個查詢，則是個例外。那麼它不可能。 如果你

$db->query("select * from table where password = 'hello ' or '1=1"); 

沒有辦法告訴應該怎麼逃脫，什麼不是，但如果你引用它在這樣

$db->query("select * from table where password = ?",array('param1')); 

用戶變量被封裝在一個變量，會逃過一劫。

3.是它，但其primpary目的不是爲了防止SQL注入， 我寧願依靠http://codeigniter.com/user_guide/libraries/input.html