Czy CodeIgniter automatycznie zapobiega SQL injection?

CodeIgniter udostępnia w swojej warstwie bazy danych kilka funkcji typu string escaping.

Fragment z CI Manual:

Jest to bardzo dobra praktyka bezpieczeństwa, aby uciec swoje dane przed przesłaniem ich do bazy danych. CodeIgniter ma trzy metody , które pomogą Ci to zrobić:

1. $this - > db - > escape() Ta funkcja określa typ danych tak, że może zawierać tylko dane łańcuchowe. Automatycznie dodaje również pojedyncze cudzysłowy wokół danych, więc nie musisz:

   $sql = "INSERT INTO table (title) VALUES(".$this->db->escape($title).")";
   

Zamieściłbym pozostałe dwa przykłady, ale nie chciałbym zabierać całej zabawy z czytania podręcznika.

Nie, opublikowany kod jest podatny na SQL injection. Musisz użyć wiązania zapytań do konstruowania zapytań SQL. Jeśli używasz biblioteki Ci DB, kodujesz ją w następujący sposób (przykład z podręcznika użytkownika):

$sql = "SELECT * FROM some_table WHERE id = ? AND status = ? AND author = ?";

$this->db->query($sql, array(3, 'live', 'Rick')); 

Nie, CodeIgniter nie będzie magicznie dezaktywować zapytań, które zostały zbudowane w ten sposób.

Zgodnie z dokumentami CI tutaj , framework filtruje POST na budowie kontrolera. Opcjonalnie wykonuje również filtrowanie XSS poprzez ręczne wywołanie funkcji lub ustawienie globalnej konfiguracji.

Ja też nigdy nie używałem CI, tylko po to, żeby się nim bawić, więc nie jestem pewien, na ile bym mu zaufał.

To niczego nie umknie. Lepiej zmienić ją na składnię bind lub składnię Active record

Powinieneś użyć $this->input - >post, powiązania zapytań i active record, aby mieć bezpieczniejsze dane, a następnie test test test, aby mieć pewność.

Użyj active record dla bezpieczeństwa i łatwiejszego kodowania:

Zamiast:

  $dbResult = $this->db->query("SELECT * FROM users WHERE username'".$_POST['user_name']."'");

Użycie (ten sam wynik):

$this->db->where('username',$this->input->post('user_name');
$dbResult = $this->db->get('users');

Może to być bolesne, ale powinieneś przekonwertować swoje zapytania na active record.

Kopiuję z podręcznika CodeIgniter: "Poza prostotą, główną zaletą korzystania z funkcji Active Record jest to, że pozwala na tworzenie aplikacji niezależnych od bazy danych, ponieważ składnia zapytań jest generowana przez każdą Adapter Bazy danych. pozwala również na bezpieczniejsze zapytania, ponieważ wartości są automatycznie przetwarzane przez system ."

I jak niektórzy już mówili, tak to kod jest podatny na SQL injection

Zoptymalizowany z drugim postem param (TRUE) do filtrowania XSS na poziomie wejściowym:

$this->db->where('username',$this->input->post('user_name', TRUE);
$dbResult = $this->db->get('users');

Biblioteki / wejście.html

Docs For (conajmniej) 2.2 state, in a big red box:

Chociaż Active Record będzie starał się jak najlepiej poprawnie cytować nazwy pól i tabel, które go karmisz, zauważ, że nie jest zaprojektowany do pracy z dowolnymi danymi wejściowymi użytkownika. Nie karmić go niezanieczyszczonymi danymi użytkownika.

Co dla programisty oznacza "nie polegaj na Active Record aby cytować cokolwiek ".

Użycie funkcji escape do iniekcji CI

<?php $username = $this->input->post('username');
$query = 'SELECT * FROM subscribers_tbl WHERE user_name = '.$this->db->escape($email);
$this->db->query($query);?>