Nette, dibi, spatne escapovani – jak tomuto zamezit?

$this->resultForPrices = dibi::query('SELECT DISTINCT .price, . %sql', $this->fields

, 'FROM %sql', $this->tables

, 'WHERE %and', $w

, 'GROUP BY . '

, (!empty($this->having) ? 'HAVING %and' : '')

, (!empty($this->having) ? $this->having : '')

, ' ORDER BY .price DESC'

, ($this->limit > 0) ? ' LIMIT '.$this->limit : '');

Napsal Gavrilo;1457368

Môj tip je prestať používať DIBI :)

Napsal Tofa;1457370

+1, bohuzel se jedna o né zcela muj projekt, znate to... Kdyz uz jsme u toho, co poradite za abstraktni knihovnu k databazim? Osobne mam napsanou svoji vlastni, ale pro inspiraci nebo rozsireni by me zajimalo kdo pouziva :-)

Napsal Gavrilo;1457371

Jednoznačne https://nextras.org/ reálne nemá zmysel použivať niečo iné... Ak ide o menší projekt Nette Database

PS: Ani doctrine nie trust me :)

Napsal Tofa;1457370

+1, bohuzel se jedna o né zcela muj projekt, znate to... Kdyz uz jsme u toho, co poradite za abstraktni knihovnu k databazim? Osobne mam napsanou svoji vlastni, ale pro inspiraci nebo rozsireni by me zajimalo kdo pouziva :-)

Napsal ItSnowsInHellAgain;1457374

Nejlepší je klasické PDO.

Následně lze použit Illuminate DB (používá se v Laravelu) - https://github.com/illuminate/database

Co se týče Nette a jeho součásti (dibi atd) - ty věci tvoří pár lidí a zbytek se veze, takže výsledek je o ničem a celkový vývoj nette je spíše hobby než vývoj frameworku.

Napsal ItSnowsInHellAgain;1457374

Nejlepší je klasické PDO.

Následně lze použit Illuminate DB (používá se v Laravelu) - https://github.com/illuminate/database

Co se týče Nette a jeho součásti (dibi atd) - ty věci tvoří pár lidí a zbytek se veze, takže výsledek je o ničem a celkový vývoj nette je spíše hobby než vývoj frameworku.

Napsal Gavrilo;1457377

Kým sa niečo také opovážiš povedať refreshni si dáta prosím ťa ;)

Napsal ItSnowsInHellAgain;1457379

Pracoval jsem s velkým množstvím frameworků a s různými systémy.

Mohu v klidu říct, že Nette je prostě hoby framework postaven pro programátory, kteří mají problém s angličtinou a hledají jednoduché řešení pro tvorbu php projektů.

Napsal navay;1457408

Nemyslím si, že chyba je v tom kódu co jste uvedl. Tam žádné LIKE přímo zadané není, musí se to plnit a ošetřovat ještě někde jinde.

Napsal ViPEr*CZ*;1457413

Tak tak, souhlasím. A případně co nechcete eskejpovat můžete hodit do DibiLiteral.

Napsal navay;1457414

Píše, že to tam zadává přímo uživatel. Takže pokud má pud sebezáchovy, tak "chce" ošetřovat vstup.

public function getMaxPrice(){

$t = $this->getDibiResultForPrices()->fetchAll();

if(isset($t)){

return $t->price;

}

protected function getDibiResultForPrices(){

if($this->resultForPrices === NULL){

$w = array();

foreach ($this->where as $key=>$t){

if (is_array($t) && array_key_exists(0, $t) && strpos($t,'variants')!==FALSE)

continue;

if (is_string($t) && strpos($t,'param')!==FALSE)

continue;

if (is_array($t) && array_key_exists(0, $t) && strpos($t,'price')!==FALSE)

continue;

if (is_array($t) && array_key_exists(0, $t) && strpos($t,'termin')!==FALSE)

continue;

// tento reset brani korektnimu vypoctu min a max price pri fulltextovem vyhledavani (v dotaze fulltextoveho vyhledavani je i vyrobce)

/*if (is_array($t) && strpos($t,'producer')!==FALSE)

continue;*/

if (is_array($t) && array_key_exists(0, $t) && strpos($t,'list')!==FALSE)

continue;

$w = $t;

}

$this->resultForPrices = dibi::query('SELECT DISTINCT .price, . %sql', $this->fields

, 'FROM %sql', $this->tables

, 'WHERE %and', $w

, 'GROUP BY . '

, (!empty($this->having) ? 'HAVING %and' : '')

, (!empty($this->having) ? $this->having : '')

, ' ORDER BY .price DESC'

, ($this->limit > 0) ? ' LIMIT '.$this->limit : '');

}

return $this->resultForPrices;

}

query($args){$args=func_get_args();return$this->nativeQuery($this->translateArgs($args));}

function

nativeQuery($sql){$this->connected||$this->connect();dibi::$sql=$sql;$event=$this->onEvent?new

DibiEvent($this,DibiEvent::QUERY,$sql):NULL;try{$res=$this->driver->query($sql);}catch(DibiException$e){$event&&$this->onEvent($event->done($e));throw$e;}if($res){$res=$this->createResultSet($res);}else{$res=$this->driver->getAffectedRows();}$event&&$this->onEvent($event->done($res));return$res;}