SQL query escaping + codeigniter

Question

Estoy usando codeigniter y la mayoría de las veces uso el registro activo para mis consultas (que automáticamente se les escapa), pero esta consulta no parece encajar perfectamente en ella debido a la variable. Así que tengo que averiguar cómo escapar de la consulta de forma manual.

documentos sugieren CodeIgniter escapar de las consultas de esta manera:

$sql = "INSERT INTO table (title) VALUES(".$this->db->escape($title).")"; 

Mi búsqueda original

$sql = "SELECT * FROM (`user_language`) WHERE `user_id` = '{$id}'"; 

Mi escapó consulta

$sql = "SELECT * FROM (`user_language`) WHERE `user_id` = '{$id}' VALUES(".$this->db->escape($user_language).")"; 

pero estoy teniendo problemas getti ng la sintaxis derecha. Los mensajes de error son los siguientes: mensaje de error

• PHP: Undefined variable: USER_LANGUAGE
• SQL error: sintaxis mal ... cerca de los 'valores (null)' en la línea 1

Answer 1

$sql = "SELECT * FROM `user_language` WHERE `user_id` = " . $this->db->escape($id); 

si desea seleccionar el idioma del usuario dado por $ id, debería funcionar de esa manera.

tratar con números alternativa sería:

$sql = "SELECT * FROM `user_language` WHERE `user_id` = " . (int)$id; 

CodeIgniter también soporta declaraciones preparadas como "Enlaces de consulta":

The secondary benefit of using binds is that the values are automatically escaped, producing safer queries. You don't have to remember to manually escape data; the engine does it automatically for you.

Answer 2

Estoy confundido por qué usted dice que no puede utilizar el Clase de registro activo con CI, esta es una llamada SQL simple (el ejemplo siguiente usa method chaining):

$this->db->select('*')->from('user_language')->where('user_id', $id); 
$query = $this->db->get(); 

Su $id se escapó correctamente y mitiga cualquier inyección. Personalmente utilizo AR siempre que sea posible, me permite escribir códigos rápidos y eficientes, y no preocuparme por las cosas malas con las llamadas SQL (consultas personalizadas).