Как справиться с проблемами безопасности с FluentPDO в PHP?

Question

Я использую FluentPDO для обработки запросов к базе данных. При взгляде на его код он, похоже, не использует какие-либо формы экранирования. Я понимаю, что PDO решает много проблем безопасности самостоятельно, но это не застраховано от них.

Как я понимаю, он невосприимчив к инъекции SQL, пока мы используем подготовленные синтаксические признаки на это сайт:

$query = $fpdo->from('article') 
     ->where('published_at > ?', $date) // HERE!! 
     ->orderBy('published_at DESC') 
     ->limit(5); 

Как о побеге переменных, чтобы предотвратить вторую инъекцию порядка SQL? Было бы просто использовать addslashes()? Было бы лишним? Как обращаться с безопасностью в этой библиотеке?

Спасибо!

Answer 1

О санитарной обработке, read more.

Некоторые хорошие цитаты:

Не пытайтесь предотвратить инъекции SQL с помощью дезинфицирующего входных данных.

Вместо этого не допускайте использования данных при создании кода SQL. Используйте подготовленные выражения (т. Е. Используя параметры в запросе шаблона), который использует связанные переменные. Это единственный способ гарантировать от SQL-инъекции.

или (подробнее о validating filters)

PHP имеет новые интересные функции filter_input сейчас, что, например, освободить вас от поиска «конечной электронной почты регулярное выражение» теперь есть встроенная в FILTER_VALIDATE_EMAIL тип