使用 Laravel 防止对批量准备的原始查询进行 SQL 注入

Question

这是我的查询：

$last = count($list)-1;

$sql = 'INSERT INTO table (col1, col2, col3) VALUES ';
for($i=0; $i<$last; $i++) {
    $sql .= '("'. $list[$i]['col1'] .'", "'. $list[$i]['col2'] .'", '. $list[$i]['col3'] .'), ';
}
$sql .= '("'. $list[$last]['col1'] .'", "'. $list[$last]['col2'] .'", '. $list[$last]['col3'] .') ';
$sql .= 'ON DUPLICATE KEY UPDATE ';
for($i=0; $i<$last; $i++) {
    $sql .= 'col3 = '. $list[$i]['col3'] .', ';
}
$sql .= 'col3 = '. $list[$last]['col3'];

DB::statement($sql);

不使用 PHP 的查询：

INSERT INTO table (col1, col2, col3) VALUES
    ( $list[$i]['col1'] , $list[$i]['col2'] , $list[$i]['col3'] ),
    ...
    ( $list[$i]['col1'] , $list[$i]['col2'] , $list[$i]['col3'] )

ON DUPLICATE KEY UPDATE
    col3 = $list[$i]['col3'],
    ...
    col3 = $list[$i]['col3'];

我看过this 和this。我有点不清楚我应该怎么做。我应该这样做吗？

DB::connection()->getPdo()->quote($sql);

我还读到您可以按照以下方式做一些事情：

DB::escape($sql)

使用 Laravel 防止上述查询的 SQL 注入的最好和最简单的方法是什么？

Answer 1

防止 SQL 注入的最好和最简单的方法是使用parameterised queries。 How to do it for bulk inserts 已经回答了很多次了，例如这里：Insert multiple rows with PDO prepared statements

编辑：

为了一目了然，你可以在 Laravel 中执行参数化查询

DB::insert($query, $params);

在纯 PDO 的答案中是

$stmt = DB::getInstance()->prepare($query);
$stmt->execute($params);

如何为批量插入准备$query 和$params 的问题已经得到解答，针对利弊进行了大量讨论，并且出现了一些针对边缘情况的替代解决方案。请阅读它们并了解其工作原理。

Answer 2

在使用原始查询时看起来像一个问题。找到一篇很棒的文章，想把它传递给其他可能需要它的人。http://fideloper.com/laravel-raw-queries

Laravel 确实使用了 barry 提到的准备好的语句，但看起来您需要专门在绑定数组中传递变量才能在原始查询中发生这种情况。

 $someVariable = Input::get("some_variable");

$results = DB::select( DB::raw("SELECT * FROM some_table WHERE some_col = :somevariable"), array(
   'somevariable' => $someVariable,
 ));

Answer 3

我认为就是这样，除非有人可以用纯 Eloquent 做到这一点。希望这可以帮助其他尝试做类似事情的人。

由于我使用 col1 + col2 作为键，我必须创建一个复合唯一键，如下所示：

CREATE UNIQUE INDEX col1_col2 ON table (col1, col2)

这是为了后代：

$last = count($list)-1;

$sql = 'INSERT INTO table (col1, col2, col3) VALUES ';
$values = [];

for($i=0; $i<$last; $i++) {
    $sql .= '( ?, ?, ? ), ';
    $values[] = $list[$i]['col1'];
    $values[] = $list[$i]['col2'];
    $values[] = $list[$i]['col3'];
}
$sql .= '( ?, ?, ? ) ';
$values[] = $list[$last]['col1'];
$values[] = $list[$last]['col2'];
$values[] = $list[$last]['col3'];

$sql .= 'ON DUPLICATE KEY UPDATE ';
$sql .= 'col3 = VALUES(col3)';

DB::statement($sql, $values);

干杯！