Entgehen Sie rohen SQL-Abfragen in Laravel 4

Question 1

Wie geht man vor, um Parameter zu maskieren, die an eine Rohabfrage in Laravel 4 übergeben werden? Ich habe so etwas erwartet DB::escape() (was eine Glocke von Laravel 3 läutet) und auch versucht DB::quote() (von dem ich dachte, dass es über die verfügbar sein könnte PDO-Objekt)

$query = DB::select("SELECT * FROM users WHERE users.id = " . DB::escape($userId));

Wir können die select-Methode nicht mit Platzhaltern verwenden, da das obige nur ein vereinfachtes Beispiel dafür ist, was wir erreichen wollen. Wir haben eine große benutzerdefinierte Abfrage mit einigen verschachtelten Auswahlabfragen, die nicht an den Abfragegenerator angepasst werden können.

Was ist der beste Ansatz, um etwas zu entkommen, bevor es in Laravel 4 eingefügt wird?

BEARBEITEN:

Ich habe gerade entdeckt, dass Sie auf das PDO-Objekt zugreifen und die Zitatfunktion auf diese Weise verwenden können. Ist dies immer noch der beste Ansatz oder gibt es einen einfacheren Weg, auf diese Funktion zuzugreifen?

DB::connection()->getPdo()->quote("string to quote");

Question 2

Sie können Ihre Zeichenfolgen auf diese Weise durch die zitieren DB Fassade.

DB::connection()->getPdo()->quote("string to quote");

Ich habe diese Antwort in meine Frage eingefügt, als ich sie entdeckte, aber ich habe sie jetzt als tatsächliche Antwort eingefügt, damit andere sie leichter finden können.

Question 3

$value = Input::get("userID");

$results = DB::select( DB::raw("SELECT * FROM users WHERE users.id = :value"), array(
   'value' => $value,
 ));

Mehr Details HIER

Question 4

Sie können dies auch versuchen (Dokumentation lesen)

$results = DB::select('SELECT * FROM users WHERE users.id = ?', array($userId));

Question 5

In zwei Antworten hier, die ich verwende, sind weniger ausführliche Lösungen integriert DB Fassade.

Zunächst Wertzitierung:

// From linked answer
DB::connection()->getPdo()->quote("string to quote");
// In the DB facade
DB::getPdo()->quote('string to quote');

Zweitens, Identifier-Quoting (Tabellen- und Spaltennamen):

// From linked answer
DB::table('x')->getGrammar()->wrap('table.column');
// In the DB facade
DB::getQueryGrammar()->wrap('table.column');

Question 6

Ich habe diese Frage gefunden, als ich in Laravel nach generischem SQL-Escape gesucht habe. Was ich aber eigentlich brauchte, war das Entkommen von Tabellen-/Spaltennamen. Also zum späteren Nachschlagen:

/**
 * Quotes database identifier, e.g. table name or column name. 
 * For instance:
 * tablename -> `tablename`
 * @param  string $field 
 * @return string      
 */
function db_quote_identifier($field) {
  static $grammar = false;
  if (!$grammar) {
    $grammar = DB::table('x')->getGrammar(); // The table name doesn't matter.
  }
  return $grammar->wrap($field);
}

Question 7

Ich benutze das in meinem helpers.php bei Laravel5:

if ( ! function_exists('esc_sql'))
{
    function esc_sql($string)
    {
        return app('db')->getPdo()->quote($string);
    }
}

Dann kann ich verwenden esc_sql Funktion, bei der ich für rohe SQL-Abfragen pergorm maskieren muss.

Question 8

Hier ist ein ausführlicheres Beispiel, das zeigt, wie man sowohl Werte als auch Spalten maskiert und Laravels QueryBuilder erweitert:

<?php

namespace App\Providers;

use Illuminate\Database\Query\Builder;
use Illuminate\Support\ServiceProvider;


class DatabaseQueryBuilderMacroProvider extends ServiceProvider {

    public function register() {
        Builder::macro('whereInSet', function($columnName, $value) {
            /** @var \Illuminate\Database\Query\Grammars\Grammar $grammar */
            $grammar = $this->getGrammar();
            return $this->whereRaw('FIND_IN_SET(?,' . $grammar->wrap($columnName) . ')', [$value]);
        });
    }
}