sql - Zend Db 避免 sql 注入

Question

我有以下代码：

public function checkLoginDetails($email, $password) {
    $select = $this->select ();
    $select->where ( "password=?", md5($password) );
    $select->where ( "email=?", $email );
    return $this->fetchRow($select);

}

电子邮件和密码直接来自用户。我是否需要使用 mysql_real_escape_string 过滤电子邮件，或者 Zend DB 是否为我做这件事？

谢谢！

Answer 1

Zend_Db我是Zend Framework 1.0的主要开发人员。

在您显示的示例中，值被插入到查询中，并应用了适当的引号和转义。你不必再做任何事情了。

Zend_Db_Adapter在内部，它使用您正在使用的 PHP 扩展中内置的引用函数。例如PDO::quote()。