¿CodeIgniter previene automáticamente la inyección de SQL?

Question

Acabo de heredar un proyecto porque el último desarrollador se fue. El proyecto está basado en Code Igniter. Nunca he trabajado con Code Igniter antes.

Me tomó un vistazo rápido al código y veo las llamadas bases de datos en el controlador como este:

$dbResult = $this->db->query("SELECT * FROM users WHERE username = '".$_POST['user_name']."'"); 

o llamadas como esta:

$dbResult = $this->db->query("SELECT * FROM users WHERE username = '".$this->input->post('username')."'"); 

¿El código de encendido desinfectar automáticamente estas consultas para prevenir la inyección sql?

Answer 1

CodeIgniter ESCAPE las variables que pasa cuando usa el método $this->db->query. Pero sólo cuando se pasa las variables que se une, he aquí un ejemplo:

$dbResult = $this->db->query("SELECT * FROM users WHERE username = '?'", array($this->input->post('username'))); 

Asimismo, recuerda que $_POST no deben prevalecer sobre los $this->input->post ya que lo que hace es comprobar si las variables existe para evitar errores.

Answer 2

No, CodeIgniter no desinfectará mágicamente las consultas que se han creado de esta manera.

Answer 3

De acuerdo con los documentos de CI here, el marco filtra POST en la construcción del controlador. También, opcionalmente, hace el filtrado XSS llamando manualmente la función o configurando una configuración global.

Nunca he usado CI excepto para jugar con él, así que no estoy seguro de hasta qué punto confiaría en esto.

Answer 4

No, el código que ha publicado es susceptible a la inyección de SQL. Debe usar query binding para construir sus consultas SQL. Si está utilizando la biblioteca IC DB, tendría que codificar algo como esto (ejemplo de la guía del usuario):

$sql = "SELECT * FROM some_table WHERE id = ? AND status = ? AND author = ?"; 

$this->db->query($sql, array(3, 'live', 'Rick')); 

Answer 5

que no escapa nada. Es mejor cambiarlo a la sintaxis de vinculación o active record syntax

Answer 6

Debe usar $ this-> input-> post, query binding y active record para tener los datos más seguros y luego aún, probar la prueba de prueba para estar seguro.

Answer 7

CodeIgniter proporciona algunas funciones de escape de cadena en su capa de base de datos.

Extracto de CI Manual:

Es una muy buena práctica de seguridad para escapar de sus datos antes de presentarlo en su base de datos. CodeIgniter tiene tres métodos que le ayudan a hacer esto:

1. this-> db-> escape de $() Esta función determina el tipo de datos para que pueda escapar sólo datos de cadena.También agrega automáticamente comillas simples alrededor de los datos para que no tenga que:

   $sql = "INSERT INTO table (title) VALUES(".$this->db->escape($title).")"; 
   

que había puesto los otros dos ejemplos, pero no quiere tomar toda la diversión de leer el manual.

Answer 8

Puede ser complicado, pero conviene convertir sus consultas en registros activos.

estoy copiando desde el manual de CodeIgniter: "Más allá de la simplicidad, un gran beneficio para el uso de la Active Record características es que permite crear aplicaciones de bases de datos independientes, ya que la sintaxis de la consulta es generado por cada adaptador de base de datos .También permite consultas más seguras, ya que los valores se escapan automáticamente por el sistema. "

Y al igual que algunas personas ya se ha dicho, si el código es susceptible a la inyección de SQL

Answer 9

Uso registro activo para la seguridad y fácil codificación:

En lugar de:

$dbResult = $this->db->query("SELECT * FROM users WHERE username'".$_POST['user_name']."'"); 

Uso (mismo resultado):

$this->db->where('username',$this->input->post('user_name'); 
$dbResult = $this->db->get('users'); 

Answer 10

Optimizado con un segundo parámetro param (TRUE) para fil XSS ter del nivel de entrada:

$this->db->where('username',$this->input->post('user_name', TRUE); 
$dbResult = $this->db->get('users'); 

libraries/input.html

Answer 11

The docs de (al menos) 2.2 Estado, en una caja roja grande:

Aunque Active Record hará todo lo posible para adecuadamente cotización cualquier nombre de campo y tabla que alimente, tenga en cuenta que NO está diseñado para funcionar con la entrada arbitraria del usuario. NO lo alimente con datos de usuario no optimizados.

Qué a este programador significa "no se basan en Active Record citar nada".

Answer 12

Usando función de escape a la inyección de CI

<?php $username = $this->input->post('username'); 
$query = 'SELECT * FROM subscribers_tbl WHERE user_name = '.$this->db->escape($email); 
$this->db->query($query);?>