php - Zend とセキュリティ

Question

データベースに何かを挿入するとき、次のような例で与えられた入力を zend エスケープします。

$options = array(
    'bla'=>input
);
$this->insert($options);

-- Zend_Form を部分的に使用して、コンテンツの長さと妥当性をまだチェックしています。

Answer 1

Zend は入力をエスケープせず、準備済みステートメントを使用します (これはさらに優れています)。

そのため、DB 式を直接使用することはできません。次のように使用する必要がありますZend_Db_Expr。

$data = array(
    'created'      => new Zend_Db_Expr('CURDATE()'),
    ...
);
$this->insert($data);