Безопасна ли функция Zend_Db_Table_Abstract-> insert ()?

Question

Я использую функцию insert () из Zend_Db_Table_Abstract.

Вставляемые данные являются пользовательским вводом, поэтому, естественно, мне любопытно, выполняет ли ZF очистку данных для меня, или я должен сделать это сам перед этимЯ вызываю функцию вставки ().

Answer 1

Когда вам нужно использовать кавычки (quote(), quoteInto()) с Zend_Db_Table:

• insert (нет)
• update (да)
• delete (да)
• Запросы с помощью SQL с использованием адаптера напрямую (да).

Используйте кавычки с Zend_Db_Table_Select (обычно нет); убедитесь, что вы изучили вывод запроса.

Вот отличный ответ одного из авторов Zend_Db ( избегая инъекций MySQL с классом Zend_Db ).

Answer 2

Метод вставки Zend_Db очищает отправленные параметры.