关于tp5的sql注入问题

Question

我想写个搜索接口，tp5的sql语句where()的模糊匹配like，为了防止sql注入肯定不能写成['like', '%'.$data['words'].'%']这个样子， 请老师解答tp5是如何处理的，难道用到PDO？

Answer 1

singwa 2017-09-29 11:42:28

你好tp已经考虑好了这个

• 提问者 Civo #1

  老师说的考虑好了指的是？tp常用的查询条件我知道可以用占位符传参的方式来解决sql注入的问题，但是模糊匹配写成  like  %:bookname% 会报错，写成字符串拼接like '%'.$data['bookname'].'%'会有sql注入的问题，tp手册的模糊匹配例子都是写好的字符串'%thinkphp%'，不知道传参的模糊匹配怎么写比较好