Joomla 禁用数据库错误

Question

我在 joomla 上使用 db->e​​scape 方法转义所有输入。 例如：

site.com/index.php?view=test&id=5'

在我的模型中，我在查询中使用 id， 查询代码：

$db= JFactory::getDBO();
$id = $db->escape($id);
$query="SELECT name FROM jos_test WHERE id=$id"                     
$database->setQuery($query);
$result = $database->loadResult();

现在，我在 url 末尾添加一个 '
Joomla 在 '.
之前添加反斜杠 但它会给出语法错误并显示表名。这是一个安全问题。
如何禁用 joomla sql 语法错误？

1064 - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'' at line 1 SQL=SELECT `name` FROM `jos_test` WHERE id=5\'

Answer 1

您应该使用以下任一方法解析您的 GET 参数 JRequest::getVar 方法，如果这是旧的 Joomla 1.5 或 在 Joomla 2.5/3+ 中使用 JInput 类。

$input=JFactory::getApplication()->input;
$id = $input->get('id', 0, 'INT');

这样您就可以安全地将它们用于数据库查询。 进行数据库查询的正确方法是described here。

最后一定要在公开之前disable error reporting编辑configuration.php文件。将$error_reporting 参数更改为'None'。

Answer 2

尝试以下方法：

$db = JFactory::getDbo();    
$query = $db->getQuery(true);     
$query->select($db->quoteName('name'))
      ->from($db->quoteName('#__test'))
      ->where($db->quoteName('id') . ' = ' . $id);    
$db->setQuery($query);    
$results = $db->loadResult();

这使用最新的数据库查询编码标准。

希望对你有帮助

Answer 3

你应该尝试这样的事情（从表名我想你正在使用 Joomla 1.5）：

$db = JFactory::getDBO();
$id = JRequest::getVar('id', 0, 'INT');

$query="SELECT name FROM #__test WHERE id = " . $id;
$db->setQuery($query);
$result = $db->loadResult();

在 Joomla 3 中，您可以使用查询生成器并避免被贬低的 JRequest：

$db = JFactory::getDBO();
$id = JFactory::getApplication()->input->get('id', 0, 'INT');
$query = $db->getQuery(true);
$query->select('name')
  ->from('#__test')
  ->where('id = ' . $id);
$db->setQuery($query);
$result = $db->loadResult();