輸入清理在Zend框架數據庫交互

Question

在Zend框架這樣的命令

$mapperObject->fetchAll($where, $order, $count, $offset);

難道一個需要小心哪些變量包含或ZF會照顧它的SQL注入和所有那？

Answer 1

假設這是使用標準Zend_Db_Table->fetchAll，那麼你確實是從SQL注入，只要您使用創建的參數的安全保護方法，例如：

$where = $select->where('id = ?', $id); 
// or .. 
$where = $select->where('id = :id'); 

，而不是

$where = $select->where('id = $id');