Czy muszę odkażać dane wprowadzone przez użytkownika Laravel

Question

Używam Laravel 4 z Eloquent. Kiedy uzyskać dane wejściowe użytkownika po prostu użyć $name=Input::get('name') a następnie zrobić $a->name=$name;

Nie wiem, czy funkcja Input::get chronić mnie przed SQL Injection i XSS. Jeśli nie, co muszę zrobić, aby odkazić dane wejściowe?

I kiedy pokazują wartość w moim przekonaniu, będę używać {{$a}} lub {{{$a}}}

Pozdrowienia i podziękowania.

Answer 1

laravel używa parametru PDO za wiążącą, wtrysk więc SQL nie jest czymś trzeba się martwić o. Powinieneś przeczytać: this.

Input :: get() nie filtruje niczego.

Potrójne nawiasy klamrowe robią to samo, co e() i HTML :: entity(). Wszystkie z nich nazywają htmlentities z UTF-8 wsparcia:

htmlentities($your_string, ENT_QUOTES, 'UTF-8', false); 

Answer 2

Powinieneś użyć {{{$a}}}, ponieważ na przykład Input can ma tag HTML. Laravel nie będzie go filtrował.

Aby uniknąć wstrzyknięcia SQL należy użyć powiązać parametry zapytań działa jak:

$var = 1; 
$results = DB::select('select * from users where id = ?', array($var)); 

a nie:

$results = DB::select('select * from users where id = '.$var);