Laravel3: Нужна ли мне санитация, если я использую Eloquent?

Question

Этот подход;

Route::get('admin/user/delete/(:any)', array('as' => 'username', 'uses' => 'admin@user_delete_process')); 

public function action_user_delete_process($username) 
{ 
    $result = User::find($username)->delete(); 
} 

Нужно ли беспокоиться об инъекциях?

Answer 1

Вообще говоря, рукоятка ORM полностью экранирует. Если вы не передаете необработанные SQL-запросы, вы должны быть в порядке, не избегая ваших входов. Для того, чтобы подтвердить, я вырыл через код Laravel, и наткнулся на execute() метод, который действительно использует PDO::prepare:

/** laravel/database/connection.php, lines 219-278 */ 
protected function execute($sql, $bindings = array()) 
{ 
    /* ... */ 
    try 
    { 
     $statement = $this->pdo->prepare($sql); 

     $start = microtime(true); 

     $result = $statement->execute($bindings); 
    } 
    // If an exception occurs, we'll pass it into our custom exception 
    // and set the message to include the SQL and query bindings so 
    // debugging is much easier on the developer. 
    catch (\Exception $exception) 
    { 
     $exception = new Exception($sql, $bindings, $exception); 

     throw $exception; 
    } 
    /* ... */ 
}