Utilisation des méthodes Magento pour écrire des requêtes d'insertion avec soin pour l'injection SQL

Question

J'utilise la fonctionnalité de Magento pour insérer des requêtes de mise à jour &. Mon exigence est que je veux prendre soin de SQL Injection, lors de ces types de requêtes. Mais je suis incapable de trouver comment Magento fait cela. Je fournis un échantillon de départ. S'il vous plaît, donnez-moi un exemple complet.

<?php 
$write = Mage::getSingleton("core/resource")->getConnection("core_write"); 
$sql = "INSERT INTO Mage_Example (Name, Email, Company, Description, Status, Date) 
    VALUES ('$name', '$email', '$company', '$desc', '0', NOW())"; 
?> 

Maintenant je veux changer la requête ci-dessus pour empêcher l'injection SQL possible. Je ne veux pas utiliser la fonction intégrée "mysql_real_escape_string()" par défaut de PHP. Quelqu'un peut-il s'il vous plaît me fournir une solution utile, en utilisant le "$write" DB Handler.

Toute aide est grandement appréciée.

Answer 1

Bon, j'ai fait une recherche sur celui-ci. Si vous pouvez obtenir une instance d'un DB_Adapter (que je crois que l'appel de ressource retournera), cela ne devrait pas être trop difficile. Au fond, Magento est basé sur Zend Framework, et l'adaptateur de base de données descend spécifiquement de Zend_Db_Adapter, donc vous pouvez utiliser ces méthodes gratuitement. Voir le lien avant pour plus d'exemples, mais voici la syntaxe fournie dans la documentation, qui devrait échapper à votre entrée automagiquement:

$write = Mage::getSingleton("core/resource")->getConnection("core_write"); 

// Concatenated with . for readability 
$query = "insert into mage_example " 
     . "(name, email, company, description, status, date) values " 
     . "(:name, :email, :company, :desc, 0, NOW())"; 

$binds = array(
    'name' => "name' or 1=1", 
    'email' => "email", 
    'company' => "company", 
    'desc' => "desc", 
); 
$write->query($query, $binds); 

Encore une fois, voir la documentation pour plus d'informations.

---

MISE À JOUR:

J'ai changé l'exemple ci-dessus. L'objet que vous récupérez avec votre requête core_write est un objet PDO qui expose une méthode query (voir ci-dessus) qui vous permettra d'utiliser des requêtes paramétrées. C'est DE loin une meilleure approche que d'essayer d'utiliser quelque chose comme mysql_real_escape_string pour la désinfection des données, et j'ai testé le code ci-dessus pour l'exactitude. Notez que, contrairement à la plupart des requêtes paramétrées MySQL, la liaison est faite avec: labels, et aussi que vous n'avez pas besoin de guillemets pour vos vars.

En réponse à votre autre point, et comme indiqué ci-dessous, la "bonne" façon de le faire dans Magento n'est pas d'utiliser des requêtes directes du tout. Les modèles d'objet Magento sont bien développés et ont pour but de vous faire abstraction de ce type de détails d'implémentation, car vous ne devriez pas avoir à vous en soucier. Pour le faire "correctement", créez un nouveau modèle basé sur la base de données et enregistrez le mal de tête.

Answer 2

Je suppose que d'échapper le nom de $, $ email et d'autres variables seront suffisantes. Regardez la fonction mysql_real_escape_string.

Answer 3

Dans le fichier de ressources.

public function saveToTable($param){ 

$table = $this->getMainTable(); 

$this->_getWriteAdapter->insert($table,array(
      'col_1'=>$param['data1'] 
      'col_2'=>$param['data2'] 
      'col_3'=>$param['data3'] 
    )); 
} 

renvoie le nombre de lignes affectées.

Answer 4

J'utilise ceci pour insérer plusieurs lignes à la table

$table = Mage::getSingleton('core/resource')->getTableName('table_name'); 
$rows = array(
    array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value'), 
    array('cal_1'=>'value','cal_2'=>'value','cal_3'=>'value') 
); 

public function insertRows($table,$rows) 
{ 
    $write = Mage::getSingleton('core/resource')->getConnection('core_write'); 
    $write->insertMultiple($table,$rows); 
}