SpeedPHP/常规操作CRUD

在SpeedPHP框架中，数据库防注入攻击主要采取了“安全过滤”的方式。安全过滤是针对从浏览器中提交的数据进行过滤操作，以防止SQL注入。

通常情况下，我们使用SpeedPHP的数据库操作——spModel的find/findAll/create/update/delete等多个函数的时候，条件condition均可以是数组形式和字符串形式两种。

数组形式将被自动过滤

$rows = array(
	'name' => "'jake'",
	'contents' => "大家好 AND 1=1",
);
$result = spClass('guestbook')->findAll($rows);
echo spClass('guestbook')->dumpSql();

输出：SELECT * FROM guestbook WHERE name = jake AND contents = '大家好 AND 1=1'

从上面代码可以看到findAll会自动将$rows数组内容，过滤成SQL语句可以接受的字符串。

字符串形式需要开发者手动过滤，使用spModel的escape函数

以下是一个模糊查找的例子：

$obj = spClass('guestbook');
$keyword = urldecode($this->spArgs('keyword'));
$condition = ' contents like '.$obj->escape('%'.$keyword.'%');
$result = $obj->findAll($condition);
echo spClass('guestbook')->dumpSql();

假设提交的keyword是“好”，那么输出是：

SELECT * FROM guestbook WHERE contents like '%好%'

我们看到，escape函数可以为字符串增加单引号，并转换字符串内部的单引号及其他一些符号为过滤状态。

注意：spModel的自动过滤实际上也是使用了escape函数进行过滤。

一般而言，安全过滤是在SpeedPHP框架中默认存在的，所以只在以下情况下，需要手动来过滤： 1.存在提交参数来需要进行数据库查找或插入、更新、删除数据。

2.只能用数组形式的条件。

参考来源

http://speedphp.com/manual.html

SpeedPHP使用手册导航

快速入门： 开始使用SpeedPHP | 制作留言本 | 简便的数据表操作 | 用Smarty来显示页面 访问交互： 入口文件 | 控制器架构 | 网址生成与PATH_INFO | 获取提交数据 | URLRewrite伪静态 | 自定义伪静态URL | 几种跳转 | 多语言实现 | 权限控制 | session、cookie | Ajax应用 数据操作： 编写数据模型类 | 常规操作CRUD | 安全过滤 | 简化操作spDB | 数据变量存储 | 缓存配置 框架概述： 单入口应用程序 | 架构设计 | 第三方类库及扩展功能 | UTF8编码与GBK版本 | SAE云计算版 模板引擎： 模板引擎配置 | 使用Smarty | Smarty开发教程 | 自动显示模板| speedy教程 | 为什么使用模板其常见问题 | 模板包含文件 | 注册函数 | 全局变量赋值 | CSS和JS的路径 优化加速： 生成静态HTML概述 | 生成HTML的使用 | 分页 | 高效函数缓存器| 模板引擎缓存 开发指南： 核心函数 | 格式输出变量调试dump | 载入包含文件import | 类实例化函数spClass | 开发流程 | 目录结构、路径设置 | 大规模系统部署 | 用户自定义及全局操作 | 自定义函数库 | 自定义类库 | 自定义404页面　｜　程序调试 ｜ dump变量调试 ｜ 安全建议及命名建议 数据模型： 高级数据库操作 | 数据表一对一关联 | 数据表一对多关联 | 数据表多对多关联 | 一表关联多表 | 关联结果的条件限制 | 关联结果在Smarty模板中显示 | 多数据库、数据表 | 多种类型数据库的配置 | 重写CRUD操作| 业务数据封装 | 数据函数复合调用 API参考： spModel数据库操作类 | spPager分页类 | spVerifier数据验证类 | spCache函数数据缓存类 | spLinker数据表关联实现类 | spView视图类 | spHtml静态HTML生成类 | spController控制器类 | spArgs环境参数类 | 配置 | 数据库驱动类 | 模板驱动类 | import载入文件