好象不可以防SQL注入

olive1 · 发表于 2011-9-27 21:12:19

添加新记录时。一些SQL命令和特殊符合还是依然被添加到了数据库中(select,update,')单引号之类的
$this->db->insert('news',$data);

yuzhigang5460 · 发表于 2011-9-27 22:32:02

PHP复制代码

$data['field1'] = $this->input->post('field1', true);

复制代码

这样做依然会被添加进去吗？

jeongee · 发表于 2011-9-28 09:02:23

虽然被添加进去了，只不过ci没有提示你说有非法字符去了，注入的效果还是没有达到的

olive1 · 发表于 2011-9-28 09:29:54

jeongee 发表于 2011-9-28 09:02
虽然被添加进去了，只不过ci没有提示你说有非法字符去了，注入的效果还是没有达到的 ...

哦，知道了。是否可以这样理解？
CI过滤了特殊的SQL注入语句,从而防止注入。对于一些特殊字符或命令独立是不起作用的，即保持原样写入数据库。

jeongee · 发表于 2011-9-28 09:31:53

olive1 发表于 2011-9-28 09:29
哦，知道了。是否可以这样理解？
CI过滤了特殊的SQL注入语句,从而防止注入。对于一些特殊字符或命令独立 ...

是的

a123123 · 发表于 2011-9-28 14:17:52

落叶之影 · 发表于 2011-10-16 13:30:48

olive1 发表于 2011-9-28 09:29
哦，知道了。是否可以这样理解？
CI过滤了特殊的SQL注入语句,从而防止注入。对于一些特殊字符或命令独立 ...

应该就是这样，让SQL语句不生效，如果强行将有SQL语句的内容过滤掉。那如果文章是介绍数据库SQL语句的话，岂不是要被过滤死了？

visvoy · 发表于 2011-10-24 22:26:14

对于mysql，ci的ar是用mysql_escape_string()或者mysql_real_escape_string()，这两个函数配合ci的ar是可以彻底杜绝注入的

a123123 · 发表于 2011-10-26 08:59:37

a123123 发表于 2011-9-28 14:17

不知道有这个规定，纯属无意

anjesky · 发表于 2011-10-27 20:50:43

不错啊

		自动登录	找回密码
密码			入住 CI 中国社区

[讨论/交流] 好象不可以防SQL注入