YIi 数据操作备注

这里引用开发组话

注意：Yii是不对$_GET或$_POST进行过滤的，因为这意味着不可逆的数据更改。Yii依赖于model的验证规则对数据进行验证及过滤。为了防止XSS和SQL injection攻击，应该完全避免直接在SQL和HTML里嵌入$_GET或$_POST变量。
应该使用parameter binding和HTML encoding我提到了两个问题：一是SQL Injection攻击，一个是XSS攻击。对于前者，需要避免的是直接把用户输入嵌入到SQL里，例如："SELECT * FROM tbl_user WHERE id={$_GET['id']}"。
恶意用户可以让$_GET['id']等于"1; DELETE FROM tbl_user"，这样就把所有的用户数据都删除了！非常危险！解决办法有好几种。最简单的就是用param binding，请阅读PHP PDO获得相关知识。如果知道id是整数，也可以先把输入强制为整数。或者如果id是字串，可以用CDbConnection::quoteValue()把输入加上引号。如果你用的是AR，那么save()函数自动会使用param binding。如果你用findAll()之类的函数，自己生成condition部分，那就要特别小心不要直接嵌入输入。XSS攻击主要是要避免直接显示用户的输入数据。例如echo $user->description（假设description的数据来自用户的输入）。恶意用户可以让id为一段js代码，使得其它用户查看该页面后隐式执行该代码，从而被恶意用户获得登录cookie等安全信息。解决办法很简单，就是用CHtml::encode()。如果输入是HTML，可以用CHtmlPurifier::purify()来过滤有害代码。

　　关于表前缀的设置

在配置文件中 db 数组的设置 tablePrefix的值注意大小写，使用的时候表名为 {{tbname}}

转载于:https://www.cnblogs.com/yxbs/p/3587407.html

YIi 数据操作备注相关推荐

使用dplyr进行数据操作（30个实例）
本文转载自"R语言",已获授权. dplyr软件包是R中功能最强大,最受欢迎的软件包之一.该软件包由最受欢迎的R程序员Hadley Wickham编写,他编写了许多有用的R软件包, ...
【一周入门MySQL—1】数据库概述、数据定义、数据操作
数据库概述.数据定义.数据操作一.数据库概述数据库基础概念:按照一定的数据结构来组织.存储和管理数据的仓库. 企业数据存储面临的问题: 存储大量数据: 大量数据的检索和访问: 保证数据信息的一致性 ...
coreData数据操作
// 1. 建立模型文件 // 2. 建立CoreDataStack // 3. 设置AppDelegate 接着 // // CoreDataStack.swift // CoreDataStack ...
SQL应用与开发：（三）数据操作 #183; 改 AND 删
继续上一篇博客的序幕,接下来,写一些关于数据操作的"改"和"删"的相关课题.在本次的学习总结中,一致围绕着数据的操作问题,这也是数据库基本.最简单的应用之一. ...
mybatis 2 -常用数据操作
1.写入数据并获取自增ID XML配置: <insert id="insertLog" parameterType=&quo ...
小汤学编程之MySQL（二）——数据库操作、表结构操作、表数据操作、查询数据和数据类型
一.数据库操作 1.创建数据库 2.查询数据库 3.修改数据库 4.使用数据库二.表结构操作 1.创建表 2.查询表 3.修改表 4.删除表三.表数 ...
SQL不同服务器数据库之间的数据操作整理(完整版)
--1. 创建链接服务器 --1.1 创建一个链接名 EXEC sp_addlinkedserver 'LinkName','','SQLOLEDB','远程服务器名或ip地址' --有自定义实例名还 ...
SQL不同服务器数据库之间的数据操作整理(完整版)（转）
-- Blog : http://blog.csdn.net/htl258(转载保留此信息) -- Subject: SQL不同服务器数据库之间数据操作整理 ------------------- ...
39-网上商城数据库-用户信息数据操作
39-网上商城数据库-用户信息数据操作项目描述在电子商务兴起的大环境下,建立利用互联网开拓销售渠道,帮助企业及时调整商品结构,协助经销商打开货源的信息门户成为解决信息流通不畅的有效方案,电子商务有 ...

YIi 数据操作备注

YIi 数据操作备注相关推荐

最新文章

热门文章