php - CDbCriteria 中的 addInCondition() 方法是“SQL 注入证明”吗？

Question

我想将 CDbCriteira addInCondition() 用于多个输入参数（数字未预定义）。此方法是否构成参数化查询？我发现对此有争议的想法：

1. 是 的 - “因为它使用 CDbCriteria 我会认为它是安全的” - 引用。
2. 不

我还查看了 addInCondition() 方法规范，但我不清楚。

Answer 1

这部分代码：

$condition=$column.'='.self::PARAM_PREFIX.self::$paramCount;
$this->params[self::PARAM_PREFIX.self::$paramCount++]=$value;

似乎用于存储参数化值。

然后在查询生成器中，它将使用它们作为数字参数。

我在自己制作的脚本中这样做，我真的怀疑钱（或其他人）会错过它并留下代码注入。

另外，你测试了吗？您可以添加随机 SQL 并查看它是否被转义。