使用参数,而不是直接在查询字符串将值做是为了防止SQL注入攻击,应始终做到:
?
... WHERE p.name > :name ......有没有办法通过使用Symfony的验证组件删除标签?
在Symfony中保存数据库之前,我们应该使用一般的提示或方法吗?
1> Jakub Zalas..:
首先阅读什么是SQL注入....,当你从数据库中取出并直接输出时,它可能会破坏你的HTML.这应该通过你的模板引擎来解决(树枝会自动逃脱它)....如果在将表单从表单传递到实体之前需要流程数据,请使用数据转换器.
2> greg0ire..:
如果在创建请求时使用参数而不是连接,则程序可以分别告诉SQL关键字和值.因此,它可以安全地转义可能包含恶意...HTML代码注入是另一个问题,与数据库无关.通过使用自动输出转义显示值时,此问题得以解决,而自动输出转义将显示eduardo而不是eduardo.这样,任何恶意的js/html代码都不会被解释:它将被显示