phpcms只对客户端数据过行过滤,不在数据动作时转义问题与不足

首先,发现它并不在数据库操作时进行

/**

* 将数组转换为SQL语句

* @param array $where 要生成的数组

* @param string $font 连接串。

*/

final public function sqls($where, $font = ' AND ') {

if (is_array($where)) {

$sql = '';

foreach ($where as $key=>$val) {

$sql .= $sql ? " $font `$key` = '$val' " : " `$key` = '$val'";

}

return $sql;

} else {

return $where;

}

}

这是一种很蠢的做法.如果二次开发人并没有对这步提前了解,那么,它如果手动拼凑出的数据包含特别字符,那么就会导致出错或是漏洞问题.这不会不可能吧?

然后这么做话.就得自己看数据是否原样,如果不是,就得再次对此数据进行转义,这就麻烦了.