为什么此段代码中，Eloquent ORM无法防SQL注入

文档中提到，筛选数据时，使用查询构造器的where可以防止sql注入
在实际操作中，发现无法实现，是不是我的写法有问题
预想中返回$data为空，但实际上还是返回了id=34的用户数据

Route::get('test/{id}', function ($id) {
    //假如接收的id为这个内容
    $id = "34 and exists (select * from admins where name = 'admin')";
    $data = User::query()->where('id',$id)->first();
    dd($data);
});

NJHSGDBD

课程读者 7 声望

暂无个人描述~

0 人点赞

以构建论坛项目 LaraBBS 为线索，展开对 Laravel 框架的全面学习。应用程序架构思路贴近 Laravel 框架的设计哲学。

我们将带你从零开发一个项目并部署到线上，本课程教授 Web 开发中专业、实用的技能，如 Git 工作流、Laravel Mix 前端工作流等。

人厶八夂

课程读者 34 声望

最佳答案

laravel首先进行处理到mysql 就是 id = '34 and...' 这种格式, 然后对于int类型的数据搜索 id = '123abc' 会在底层处理为 id = 123 继续执行

(以上如果我没记错的话，全凭印象)

3年前评论

讨论数量: 6

chowjiawei

Laravel 8.x 译者 1.4k 声望 / 测开 @ 新大陆数字技术股份有限公司

我试了下，我都没有admins表都可以查出来，应该是过滤了，正好你的34也是admin让你误以为会注入了吧

3年前评论

人厶八夂

课程读者 34 声望

laravel首先进行处理到mysql 就是 id = '34 and...' 这种格式, 然后对于int类型的数据搜索 id = '123abc' 会在底层处理为 id = 123 继续执行

(以上如果我没记错的话，全凭印象)

3年前评论

Rache1

658 声望

MySQL 的类型转换引起的，当你在数字类型上查询时，传入了字符串的值，MySQL 会尝试转换类型。

file

你要验证是否存在 sql 注入，可以写作 999999 or 1=1 ，这样如果能查出来内容，才能证明。此处 999999 时一个不存在的 ID，如果存在，请加大

3年前评论

陈先生

课程读者 650 声望 / PHP_EOL @ NaN

->where('id','[0-9]+'); 为什么不试试路由参数限定呢 :kissing_heart:

3年前评论

deatil

见习助教 762 声望

语句用whereraw试下

3年前评论

颠倒的玉石

课程读者 166 声望 / 技术小垃圾 @ 山西证券

我每次都要is_numeric这么一下

3年前评论

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容，与人为善，比聪明更重要！

帮助

为什么此段代码中，Eloquent ORM无法防SQL注入

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

为什么此段代码中，Eloquent ORM无法防SQL注入

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

请登录