Yii框架数据库操作层安全性分析教学文档

save() 
-> insert()/update() 
-> createInsertCommand()/createUpdateCommand() 
-> 参数绑定与类型转换

findAll() 
-> query() 
-> createFindCommand() 
-> applyLimit()

Yii框架数据库操作层安全性分析教学文档 0x00 前言 本教学文档基于对Yii框架数据库操作层若干接口的安全性分析，旨在帮助开发人员理解Yii框架中不同数据库操作方法的安全特性，从而编写更安全的代码。 0x01 CDbCriteria中的addSearchCondition与addCondition安全性对比 addCondition方法分析 安全性 : 存在SQL注入风险 原因 : 该方法直接拼接用户输入的查询条件到SQL语句中，未进行任何过滤或参数绑定 源码特点 : 无参数绑定逻辑 addSearchCondition方法分析 安全性 : 防止SQL注入 安全机制 : 使用参数绑定技术 绑定参数格式为 :ycp 前缀加自增数字(如 :ycp0 , :ycp1 ) 参数定义: 同类安全方法 compare() addBetweenCondition() addInCondition() 结论 : 优先使用addSearchCondition等内置参数绑定的方法 0x02 CActiveRecord->save方法安全性分析 安全机制 数据校验 : 默认根据model中定义的rules对属性值进行校验 校验通过才执行后续操作 数据操作 : 新记录: 调用 insert() 方法 已有记录: 调用 update() 方法 参数处理 : 使用参数绑定: self::PARAM_PREFIX.$i 类型转换: $column->typecast($value) CDbColumnSchema对象负责类型安全转换 关键代码路径 结论 : save方法通过校验、参数绑定和类型转换三重保护，可有效防止SQL注入 0x03 CDbCriteria中的limit和offset安全性 安全机制 强制类型转换 : 用户传入的 $criteria->limit 和 $criteria->offset 会被转换为整数 通过 applyLimit() 方法实现 源码路径 结论 : limit和offset属性由于强制类型转换，不存在SQL注入风险 0x04 CDbCriteria中其他条件属性安全性分析 不安全属性 order 风险: 直接拼接SQL语句 影响方法: applyOrder() group 风险: 直接拼接SQL语句 影响方法: applyGroup() having 风险: 直接拼接SQL语句 影响方法: applyHaving() join 风险: 直接拼接SQL语句 影响方法: applyJoin() 共同问题 未对用户输入进行过滤或参数绑定 直接拼接原始输入到SQL语句中 结论 : 这些属性存在SQL注入风险，使用时必须手动处理用户输入 0x05 安全编码实践建议 优先选择的安全方法 : addSearchCondition() compare() addBetweenCondition() addInCondition() save() 需要谨慎使用的方法/属性 : addCondition() order group having join 防御措施 : 对于必须使用的不安全属性，应手动进行: 参数绑定 输入过滤 白名单验证 培训要点 : 通过实际代码演示不同方法的安全差异 展示SQL注入的实际案例 强调参数化查询的重要性 附录：Yii数据库操作安全速查表 | 方法/属性 | 安全性 | 备注 | |---------------------|--------|------| | addSearchCondition | 安全 | 内置参数绑定 | | compare | 安全 | 内置参数绑定 | | addBetweenCondition | 安全 | 内置参数绑定 | | addInCondition | 安全 | 内置参数绑定 | | save | 安全 | 校验+参数绑定+类型转换 | | limit | 安全 | 强制类型转换 | | offset | 安全 | 强制类型转换 | | addCondition | 不安全 | 直接拼接SQL | | order | 不安全 | 直接拼接SQL | | group | 不安全 | 直接拼接SQL | | having | 不安全 | 直接拼接SQL | | join | 不安全 | 直接拼接SQL |