как избежать SQL-инъекции в codeigniter

можно использовать

$this->db->escape()

метод..

$sql = "INSERT INTO table (title) VALUES(".$this->db->escape($omgomg).")";

другие методы, перечисленные здесь.

http://codeigniter.com/user_guide/database/queries.html

вы должны стараться избегать записи запросов непосредственно в строку, а затем передавать их функции запроса. Лучшим вариантом было бы использовать класс Active Record, который будет создавать ваши запросы для вас и избегать значений. http://codeigniter.com/user_guide/database/active_record.html

Если вы хотите избежать использования класса Active Record по какой-либо причине, вы можете просмотреть документацию Codeigniter для класса базы данных, который имеет escape метод экранирования значений перед их передачей в метод запроса. http://www.codeignitor.com/user_guide/database/queries.html

Бен

В CodeIgniter: Существует 2 действия для предотвращения SQL-инъекции. Для тех, кто является новинкой в веб-программировании, еще один вид дыры безопасности в веб-программировании, который может быть фатальным, потому что он может раскрыть вашу внутреннюю сторону базы данных приложения, это SQL-инъекция.

и, к счастью, у Codeigniter есть возможность справиться с этим. Но, к сожалению, многие из программистов CI, с которыми я сотрудничал (и даже вы), забыли (или могли бы) эти два действия, чтобы предотвратить любые обстоятельства SQL-инъекция.

ручка с возможностью ActiveRecord Первое, что не следует делать ни при каких обстоятельствах, связанных с запросом данных, используя полный запрос, как это:

$this->db->query("select * from users where user=$user and password=$password")

вы не знаете, что именно внутри $user или $ password переменная, когда дело доходит до пользователя, который будет делать намеренно неправильную вещь. Даже XSS sanitiser не будет иметь дело с кем-то, кто вводит в него комбинацию кавычек, точек с запятой или тире. Так что в этом случае, вам нужно узнать эта активная запись, потому что она имеет возможность дезинфекции ввода, предназначенную для предотвращения SQL-инъекции. И не волнуйтесь, он поддерживает такую цепочку функций, как эта :

$this->db->select('title')->from('mytable')->where('id', $id)->limit(10, 20);

$query = $this->db->get();

но помните, что это не сработает, если вы все еще объединяете обычную (частично) функцию запроса внутри активной функции записи, как это :

$query = $this->db->where("title LIKE '%$input%'");

который на самом деле может быть изменен следующим образом.

$query = $this->db->like("title", $input);

дело в том, что используйте каждый бит возможности активной записи CodeIgniter и не связывайся с ним.

но если это не работает, есть альтернатива Если у вас очень длинный запрос и вы не потрудились преобразовать его в стиль Active Record, вы можете санировать ввод вручную, используя эту функцию:

$sanitised_title = $this->db->escape($title);

// для использования внутри like query

$sanitised_title = $this->db->escape_like_str($title);

и вы можете безопасно объединить санированный / экранированный ввод внутри вашего запроса.

вы можете проверить, если вы var содержат только буквы чисел, то есть вы var маст быть в определенном формате. прежде чем вставить его в запрос

принимая значение со стороны клиента, лучше использовать этот код,

$client = $this->input->post('client',TRUE);

при вставке лучше использовать метод вставки codeigniter,

$this->db->insert('tablename',$values);

при использовании этого метода codeingniter автоматически делает все побег, поэтому нам не нужно делать побег вручную.