CodeIgniter转义查询

CodeIgniter 框架提供了 Active Record 模式来对数据库进行操作，自己也比较喜欢这种操作数据库的方式，因为通过这种方式进行数据库操作系统会自动对数据进行转义过滤，可以帮助我们进行安全的数据库操作。

但是Active Record 在数据查询方面个人觉得反而没有直接自己书写SQL语句来得方便，不好的就是使用自己的SQL语句进行查询系统默认没有对数据进行一些安全方面的操作，需要我们自己手动去进行一些安全过滤操作，这时我们就需要使用到转义查询。

将数据转义以后提交到你的数据库是非常好的安全做法，CodeIgniter 提供了 3 个函数帮助你完成这个工作。

1、$this->db->escape() 这个函数将会确定数据类型，以便仅对字符串类型数据进行转义。并且，它也会自动把数据用单引号括起来，所以你不必手动添加单引号

用法如下：

$sql = "INSERT INTO table (title) VALUES(".$this->db->escape($title).")";

查看函数源码：

function escape($str){	if (is_string($str))	{		$str = "'".$this->escape_str($str)."'";	}	elseif (is_bool($str))	{		$str = ($str === FALSE) ? 0 : 1;	}	elseif (is_null($str))	{		$str = 'NULL';	}	return $str;}

2、$this->db->escape_str() 此函数将忽略数据类型对传入数据进行转义。更多时候你将使用上面的函数而不是这个。

这个函数的使用方法是： 

$sql = "INSERT INTO table (title) VALUES('".$this->db->escape_str($title)."')";

查看函数源码：

/** * Escape String * * @access	public * @param	string * @param	bool	whether or not the string will be used in a LIKE condition * @return	string */function escape_str($str, $like = FALSE){	if (is_array($str))	{		foreach ($str as $key => $val)		{			$str[$key] = $this->escape_str($val, $like);		}		return $str;	}	if (function_exists('mysql_real_escape_string') AND is_resource($this->conn_id))	{		$str = mysql_real_escape_string($str, $this->conn_id);	}	elseif (function_exists('mysql_escape_string'))	{		$str = mysql_escape_string($str);	}	else	{		$str = addslashes($str);	}	// escape LIKE condition wildcards	if ($like === TRUE)	{		$str = str_replace(array('%', '_'), array('\%', '\_'), $str);	}	return $str;}

3、$this->db->escape_like_str() This method should be used when strings are to be used in LIKE conditions so that LIKE wildcards ('%', '_') in the string are also properly escaped. 

使用示例：

$search = '20% raise';$sql = "SELECT id FROM table WHERE column LIKE '%".$this->db->escape_like_str($search)."%'";

查看源码：

function escape_like_str($str){	return $this->escape_str($str, TRUE);}

我们可以看到，第一种和第三种方法其实都是调用了第二种方法。