Kohana SQL подготовленный оператор безопасности

Question

В документации , подготовленной Kohana, указано

Несмотря на то, что все параметры экранированы, чтобы предотвратить внедрение SQL, все же это хорошая идея для проверки / дезинфекции вашего ввода.

Из того, что я прочитал в подготовленных утверждениях, у меня сложилось впечатление, что параметры привязки предотвращают внедрение SQL.Если это не так, какой метод очистки / экранирования следует использовать перед привязкой переменных?

Answer 1

Kohana предоставляет абстракцию БД для различных типов баз данных.Не все конкретные базы данных могут иметь подготовленные операторы, поэтому они будут смоделированы.Некоторые собственные функции экранирования для определенных баз данных могут даже быть повреждены.

Как вы никогда не знаете, всегда хорошо иметь не только один уровень безопасности.

Другой уровень - это то, что ваш скрипт фактически получает данныев этом есть смысл.Например, строка имени размером 8 мегабайт, например.Не имеет смысла независимо от того, что база данных делает с этим.

Answer 2

Я думаю, что когда они говорят «все еще хорошая идея для проверки / дезинфекции», они подразумевают использование класса Valid или / и класса Validation ... Чтобы убедиться, что вы вставляете правильные данные в вашу БД.

Дополнительная информация о валидации в Кохане: http://kohanaframework.org/3.2/guide/kohana/security/validation

ОБНОВЛЕНИЕ:

Вам также следует ознакомиться с XSS: http://kohanaframework.org/3.2/guide/kohana/security/xss