Usar métodos de Magento para escribir Insertar consultas con cuidado para la inyección de SQL

Question

Estoy utilizando la funcionalidad de Magento para insertar consultas de actualización de &. Mi requisito es que quiero ocuparme de la Inyección SQL al hacer este tipo de consultas. Pero no puedo encontrar cómo Magento hace esto. Proporciono una muestra de inicio. Por favor, dame un ejemplo completo.

<?php 
$write = Mage::getSingleton("core/resource")->getConnection("core_write"); 
$sql = "INSERT INTO Mage_Example (Name, Email, Company, Description, Status, Date) 
    VALUES ('$name', '$email', '$company', '$desc', '0', NOW())"; 
?> 

Ahora quiero cambiar la consulta anterior para evitar la posible inyección de SQL. No quiero utilizar la función predeterminada "mysql_real_escape_string()" de PHP. ¿Alguien puede darme una solución útil, usando el controlador de base de datos "$write".

Cualquier ayuda es muy apreciada.

Answer 1

Bien, investigué este un poco. Si puede obtener una instancia de un DB_Adapter (que creo que devolverá la llamada de recurso), esto no debería ser demasiado difícil. En el fondo, Magento se basa en Zend Framework, y el adaptador DB específicamente desciende de Zend_Db_Adapter, por lo que puede utilizar esos métodos de forma gratuita. Vea el enlace anterior para más ejemplos, pero aquí está la sintaxis proporcionada en la documentación, que debe escapar de su entrada automáticamente:

$write = Mage::getSingleton("core/resource")->getConnection("core_write"); 

// Concatenated with . for readability 
$query = "insert into mage_example " 
     . "(name, email, company, description, status, date) values " 
     . "(:name, :email, :company, :desc, 0, NOW())"; 

$binds = array(
    'name' => "name' or 1=1", 
    'email' => "email", 
    'company' => "company", 
    'desc' => "desc", 
); 
$write->query($query, $binds); 

Una vez más, ver la documentación para obtener más información.

---

ACTUALIZACIÓN:

He cambiado el ejemplo anterior. El objeto que obtienes con tu petición core_write es un objeto PDO que expone un método query (ver arriba) que te permitirá utilizar consultas parametrizadas. Este es, con mucho, un mejor enfoque que el intento de utilizar algo como mysql_real_escape_string para la desinfección de datos, y he probado el código anterior para la corrección. Tenga en cuenta que, a diferencia de la mayoría de las consultas parametrizadas de MySQL, el enlace se hace con: labels, y también que no necesita cotizaciones para sus vars.

En respuesta a su otro punto, y como se indica a continuación, la forma "correcta" de hacerlo en Magento no es utilizar consultas directas en absoluto. Los modelos de objetos de Magento están bien desarrollados y su objetivo es abstraer este tipo de detalles de implementación lejos de ti, porque no debes preocuparte por ello. Para hacerlo "correctamente", cree un nuevo modelo basado en la base de datos y ahorre el dolor de cabeza.

Answer 2

supongo que es suficiente escaparse del $ nombre, $ correo electrónico y otras variables.

eche un vistazo a la función mysql_real_escape_string.

Answer 3

En el archivo de recursos.

public function saveToTable($param){ 

$table = $this->getMainTable(); 

$this->_getWriteAdapter->insert($table,array(
      'col_1'=>$param['data1'] 
      'col_2'=>$param['data2'] 
      'col_3'=>$param['data3'] 
    )); 
} 

devuelve el número de filas afectadas.

Answer 4

estoy usando esto para insertar múltiples filas a la tabla

$table = Mage::getSingleton('core/resource')->getTableName('table_name'); 
$rows = array(
    array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value'), 
    array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value') 
); 

public function insertRows($table,$rows) 
{ 
    $write = Mage::getSingleton('core/resource')->getConnection('core_write'); 
    $write->insertMultiple($table,$rows); 
}