Codeigniter如何清除输入？

我家小狗叫十一

我正在构建Codeigniter应用程序，并且正在尽最大努力防止SQL注入。我正在使用Active Record方法构造所有查询。我知道Active
- n2 n6 }7 p9 a: w! qRecord会自动清除输入内容，但是我想知道到底是什么程度？它只是转义所有引号，还是做更多呢？如何防止混淆的SQL注入或其他更高级的注入？
基本上，我正在寻找有关CI如何清理数据的深入说明。有人知道吗
2 E) z8 ?5 Z: _* M% S  i. ~9 f5 r               
6 {, _: |  y9 h) D9 b0 v# \* h解决方案:
               


$ O/ v# Q4 N8 R* h                完全像这样（对于MySQL驱动程序）：
尝试mysql_real_escape_string()（99％的情况会是这种情况）
跌回 mysql_escape_string()
跌回 addslashes()
  s! S; e0 ^" w5 g3 ^通过以下方式手动逃脱%并_处于LIKE有条件的状态str_replace()

https://github.com/EllisLab/CodeIgniter/blob/develop/system/database/drivers/mysql/mysql_driver.php#L294
3 N% w# O; D2 _# p- @% t# Y/**
* Escape String
*
* @access public
4 }0 L5 C/ U) M) P6 R: h7 }* @param string
* @param bool whether or not the string will be used in a LIKE condition
* @return string
*/
function escape_str($str, $like = FALSE)
) L( j2 g4 s$ T& j/ [1 ^* q{
9 s( h5 Q3 _$ i1 J    if (is_array($str))
+ ~: W3 v) ~- F: O: x* v$ B& i    {
6 O# X( V, X( ]) [        foreach ($str as $key => $val)
6 G) v7 d) g/ q5 V8 @$ {$ X        {
            $str[$key] = $this->escape_str($val, $like);
* G5 \  q* B: H* s2 h        }
        return $str;
    }
    if (function_exists('mysql_real_escape_string') AND is_resource($this->conn_id))
    {
" X8 q4 F6 Q, O3 r: p7 b' p( h        $str = mysql_real_escape_string($str, $this->conn_id);
    }
    elseif (function_exists('mysql_escape_string'))
8 d1 h* E6 r  _$ V    {
        $str = mysql_escape_string($str);
    }
, i6 o. T: E! _% }# ~, @    else
2 j) ?5 H3 O) T    {
5 d$ h) U: _+ w+ @2 f1 B0 A) |# t        $str = addslashes($str);
    }
    // escape LIKE condition wildcards
9 V' \2 A5 W6 f    if ($like === TRUE)
/ r5 v& \9 c/ p4 u- W4 n    {
/ X( Z* R  O1 E' P1 z$ Y7 i        $str = str_replace(array('%', '_'), array('\\%', '\\_'), $str);
    }
% y0 X. p8 Z7 p7 i9 N    return $str;
+ H- h' l* [0 A$ Q& `# p* A}
注意，这只是转义字符，因此MySQL查询不会中断或发生意外情况，并且仅在数据库查询的上下文中使用，以确保基于传递给它的内容正确的语法。
没有任何魔术可以确保所有数据在 任何
上下文（例如HTML，CSV或XML输出）中的安全，并且以防万一您正在考虑它：xss_clean()不是一种千篇一律的解决方案，也不是100％防弹的，有时实际上是非常不合适的。Active
2 l# g2 _! w* F$ ?/ V8 vRecord类会自动进行查询转义，但是对于其他所有情况，您应该使用给定上下文的正确方式手动转义/清理数据，并使用 输出 而不是 输入 。