CodeIgniter empêche-t-il automatiquement l'injection SQL ?

Question

Je viens d'hériter d'un projet parce que le dernier développeur est parti. Le projet est construit à partir de Code Igniter. Je n'ai jamais travaillé avec Code Igniter auparavant.

J'ai jeté un coup d'œil rapide au code et je vois des appels de base de données dans le contrôleur comme ceci :

$dbResult = $this->db->query("SELECT * FROM users WHERE username = '".$_POST['user_name']."'");

ou des appels comme celui-ci :

$dbResult = $this->db->query("SELECT * FROM users WHERE username = '".$this->input->post('username')."'");

Est-ce que Code Igniter nettoie automatiquement ces requêtes pour éviter l'injection sql ?

Answer 1

CodeIgniter FAIT ESCAPITRE les variables que vous passez en utilisant la fonction $this->db->query méthode. Mais UNIQUEMENT lorsque vous passez les variables en tant que liens, voici un exemple :

$dbResult = $this->db->query("SELECT * FROM users WHERE username = ?", array($this->input->post('username')));

Rappelez-vous également que $_POST ne devrait pas être préféré à $this->input->post puisqu'il s'agit de vérifier si les variables existent pour éviter les erreurs.

Answer 2

CodeIgniter fournit quelques fonctions d'échappement de chaîne dans sa couche de base de données.

Extrait de Manuel CI :

C'est une très bonne pratique de sécurité que d'échapper vos données avant de les soumettre à votre base de données. CodeIgniter a trois méthodes qui vous aident à le faire :

1. $this->db->escape() Cette fonction détermine le type de données afin de ne pouvoir échapper que des données de type chaîne de caractères. Elle ajoute aussi automatiquement des guillemets simples autour des données pour que vous n'ayez pas à le faire :

   $sql = "INSERT INTO table (title) VALUES(".$this->db->escape($title).")";

Je posterais bien les deux autres exemples, mais je ne voudrais pas gâcher le plaisir de la lecture du manuel.

Answer 3

Non, le code que vous avez posté est sensible à l'injection SQL. Vous devez utiliser liaison de requête pour construire vos requêtes SQL. Si vous utilisez la bibliothèque CI DB, vous devez coder quelque chose comme ceci (exemple tiré du guide de l'utilisateur) :

$sql = "SELECT * FROM some_table WHERE id = ? AND status = ? AND author = ?";

$this->db->query($sql, array(3, 'live', 'Rick'));

Answer 4

Non, CodeIgniter ne nettoiera pas magiquement les requêtes qui ont été construites de cette façon.

Answer 5

Selon les documents de CI aquí le cadre filtre le POST sur la construction du contrôleur. Il peut également filtrer les XSS en appelant manuellement la fonction ou en définissant une configuration globale.

Je n'ai jamais utilisé l'IC non plus, sauf pour jouer avec, donc je ne suis pas sûr de pouvoir me fier à cette information.