Muss ich die Benutzereingabe sterilisieren Laravel

Question

Ich benutze Laravel 4 mit Eloquent. Wenn ich die Benutzereingabe erhalten benutze ich nur $name=Input::get('name') und dann mache ich $a->name=$name;

Ich weiß nicht, ob die Funktion Input::get mich von SQL-Injection und XSS schützen. Wenn dies nicht der Fall ist, was muss ich tun, um die Eingabe zu bereinigen?

Und wenn ich den Wert meines Erachtens zeigen, werde ich verwenden {{$a}} oder {{{$a}}}

Gruß und Dank.

Answer 1

Laravel nutzt PDO die Parameterbindung, so SQL-Injection ist nicht etwas, das man sich sorgen sollten Über. Sie sollten jedoch this lesen.

Input :: get() filtert nichts.

Dreifach geschweifte Klammern machen dasselbe wie e() und HTML :: entities(). Alle von ihnen nennen htmlentities mit UTF-8-Unterstützung:

htmlentities($your_string, ENT_QUOTES, 'UTF-8', false); 

Answer 2

Sie sollten {{{$a}}} verwenden, weil zum Beispiel Eingabe kann HTML-Tag hat. Laravel wird es nicht filtern.

Um SQL-Injection zu vermeiden Sie Ihre Parameter Ausführen von Abfragen binden wie verwenden sollten:

$var = 1; 
$results = DB::select('select * from users where id = ?', array($var)); 

und nicht:

$results = DB::select('select * from users where id = '.$var);