Php on zend, как избежать переменной для запроса?

Question

im делает некоторые запросы в Zend Framework, и мне нужно убедиться, что SQL-инъекция не возможна в следующих форматах. Я могу использовать mysql_escape (устарел) и не буду выполнять всю работу. Если я попытаюсь использовать real_mysql_escape, он не сможет захватить связь с базой данных, и я не могу найти, как zend_filter решит проблему.

им запрос делать (Simplied) имеет следующий sintaxes:

$db = Zend_Registry::get('db'); 
    $select = "SELECT COUNT(*) AS num 
       FROM message m 
       WHERE m.message LIKE '".$username." %'"; 
    $row = $db->fetchRow($select); 

Что является лучшим способом для предотвращения SQL Injection с этой структурой?

Answer 1

Easy:

$db->quote($username); 

Итак:

$username = $db->quote($username . '%'); 
    $select = 'SELECT COUNT(*) AS num 
           FROM message m 
           WHERE m.message LIKE ' . $username; 
    $row = $db->fetchRow($select); 

Answer 2

$sql = 'SELECT * FROM messages WHERE username LIKE ?'; 
$row = $db->fetchRow($sql, $username); 

Ссылка: http://framework.zend.com/manual/en/zend.db.html

Answer 3

При работе с моделью, вы можете использовать:

$bugs = new Bugs(); 
$row = $bugs->fetchRow($bugs->select()->where('bug_id = ?', 1));