YIi 数据操作备注

╰+攻爆jí腚メ 2021-10-30 02:38 253阅读 0赞

这里引用开发组话

>     注意：Yii是不对$_GET或$_POST进行过滤的，因为这意味着不可逆的数据更改。Yii依赖于model的验证规则对数据进行验证及过滤。
>     
>     为了防止XSS和SQL injection攻击，应该完全避免直接在SQL和HTML里嵌入$_GET或$_POST变量。
>     应该使用parameter binding和HTML encoding
>     
>       
>     
>     我提到了两个问题：一是SQL Injection攻击，一个是XSS攻击。
>     
>     对于前者，需要避免的是直接把用户输入嵌入到SQL里，例如："SELECT * FROM tbl_user WHERE id={$_GET['id']}"。
>     恶意用户可以让$_GET['id']等于"1; DELETE FROM tbl_user"，这样就把所有的用户数据都删除了！非常危险！
>     
>     解决办法有好几种。最简单的就是用param binding，请阅读PHP PDO获得相关知识。如果知道id是整数，也可以先把输入强制为整数。或者如果id是字串，可以用CDbConnection::quoteValue()把输入加上引号。如果你用的是AR，那么save()函数自动会使用param binding。如果你用findAll()之类的函数，自己生成condition部分，那就要特别小心不要直接嵌入输入。
>     
>     XSS攻击主要是要避免直接显示用户的输入数据。例如echo $user->description（假设description的数据来自用户的输入）。恶意用户可以让id为一段js代码，使得其它用户查看该页面后隐式执行该代码，从而被恶意用户获得登录cookie等安全信息。
>     
>     解决办法很简单，就是用CHtml::encode()。如果输入是HTML，可以用CHtmlPurifier::purify()来过滤有害代码。
> 
> 　　关于 表前缀的设置
> 
> 在配置文件中 db 数组的 设置 tablePrefix的值 注意大小写，使用的时候 表名为 \{ \{tbname\}\}

转载于:https://www.cnblogs.com/yxbs/p/3587407.html

发表评论取消回复

表情：

评论列表（有 0 条评论，253人围观）

还没有评论，来说两句吧...

相关阅读

相关 YII2.0数据库基本操作

加载对象: 在控制器中 use yii\db\Query; $query=new Query(); 查询多条：$arr=$query->

雨点打透心脏的1/2处/ 2023年02月21日 11:39/ 0 赞/ 3 阅读

相关 java注解备注

@Import（\{ 要导入的容器中的组件id \} ）功能：和Spring XML 里面的一样，用来导入配置类或者一些需要前置加载的类，容器会自动注册这个组件，id

布满荆棘的人生/ 2022年12月28日 09:22/ 0 赞/ 124 阅读

相关西安旅游备注

1. 要带的东西 > 身份证、银行卡、现金、学生证、换洗衣服、牙刷牙膏、便携式袋装洗发露沐浴露、充电器充电宝、毛巾 1. 要去的地方兵马俑 > 兵马俑在临潼

旧城等待，/ 2022年12月11日 06:25/ 0 赞/ 205 阅读

相关 KaokaoSDK接入备注

1、必须在游戏一启动就调用以下代码，否则会出现二次登录验证不通过的问题，问题重现步骤：（1）当启动游戏，点击登录按钮，会跳转到kakaotalk app并弹出

柔情只为你懂/ 2022年08月10日 03:50/ 0 赞/ 192 阅读

相关 Yii criteria操作方法集合

$criteria = new CDbCriteria(); 【select】 $criteria->select = '';//默认 $cri

柔情只为你懂/ 2022年06月08日 20:43/ 0 赞/ 170 阅读

相关 linux 常用操作备注

nginx： 1.nginx server\_name 多个的话，空格隔开就行 linux：一、linux CPU大小 cat /proc/cpuinfo

我会带着你远行/ 2022年04月23日 03:58/ 0 赞/ 264 阅读

相关 Android资料备注

[jiahui524专栏(从头学Android)][jiahui524_Android] [Android开发高手进阶教程][Android] [A

待我称王封你为后i/ 2022年04月10日 13:22/ 0 赞/ 237 阅读

相关 yii常用操作数据

yii常用操作数据.php <?php defined('YII_DEBUG') or define('YII_DEBUG', true);

谁借莪１个温暖的怀抱￠/ 2021年12月19日 19:04/ 0 赞/ 237 阅读

相关备注一份

http://i.cnblogs.com/EditPosts.aspx?opt=1 http://lxr.free-electrons.com/ident?v=2.6.36&

左手的ㄟ右手/ 2021年12月16日 11:39/ 0 赞/ 306 阅读

相关 YIi 数据操作备注

这里引用开发组话 > 注意：Yii是不对$_GET或$_POST进行过滤的，因为这意味着不可逆的数据更改。Yii依赖于model的验证规则对数据进行验证及过滤。 >

╰+攻爆jí腚メ/ 2021年10月30日 02:38/ 0 赞/ 254 阅读