Безопасный код в Друпале: Работа с базой данных

[AzeriFire]

Облегченные placeholder-ы для mysql_query() — Автор: Дмитрий Кóтеров

[egorinsk]

Отличная вешь. меня в свое время очень впечатлило)

[AzeriFire]

Знаю пример не совсем для Друпала, но очень полезный

[AmdY]

mysql_real_escape_string лучше, так как учитывает локали
а sprintf — это вообще бррррр, а что если нужно LIKE '%…?

[neochief]

Читать надо :) Если нужно, делаем %%

[masterbo]

нашёл опечатку
SELECT n.nid, n.title FROM {node} n LEFT JOIN {users} n ON n.uid = u.uid WHERE n.type = '%s' AND u.login > 199976743

[neochief]

Спасибо, поправил.

[andreypaa]

в примере реализации хука, код «if ($primary_table == 'u') » немного не понятен, может быть «u» заменить на «node» или на «n»?

[neochief]

Да, конечно, так и есть. Yet another опечатка.

[andreypaa]

если я правильно понял, то в хуке «hook_db_rewrite_sql()», в аргументе "$primary_table" передается алиас таблицы, а не само название таблицы или и то, и другое?

[neochief]

Там передается то, что вы передаете в db_rewrite_sql() во втором параметре. Цитирую:

$primary_table Имя или псевдоним таблицы, которая имеет первичный ключ для этого запроса. Хотя обычные имена таблиц такие: {blocks}, {comments}, {forum}, {node}, {menu}, {term_data} или {vocabulary}. Но не смотря на это, обычно используются псевдонимы таблиц, например: b, c, f, n, m, t или v.

[andreypaa]

Уже разобрался, заглянув в доки. В общем, может быть и то и другое, как сам программист захочет, но для стандарных таблиц рекомендуют передавать их стандартные алиасы.

[stepashka69]

Я бы предложил не заниматься ерундой, а взять нормальный ORM типа Propel ( propel.phpdb.org/trac/ ) или Doctrene ( en.wikipedia.org/wiki/Doctrine_(PHP) ).

Все object-oriented сов семи вытекающими отсюда вкусностями. Есть куча behaviours и т.п. После того как попользовался нормальными ORM на Drupal-овскую порнографию смотреть даже не хочется.

[pvasili]

При это переписать 80-90% кода ядра и модулей. Зачем? Погуглите ветки с холиварами об ООП в Drupal. Для большинства его защитников — это просто самоцель.
Это как предложить автогонщику взять инструкцию от истребителя и переделать его автомобиль в соответствии с его требованиями ;)

[Tremor]

а как такой код:
    db_query(«SELECT n.nid FROM {node} n WHERE n.type = '%s'», $type);
обеспечивает безопасность от SQL-инъекций?
ведь если в $type окажется все то же значение story' UNION SELECT s.sid, s.sid FROM {sessions} s WHERE s.uid = 1/*, ф-ция db_query подставит всю строку.
или я чего-то не понимаю?

[neochief]

удовлетворяю ваш интерес
SELECT n.nid FROM node n WHERE n.type = «story\' UNION SELECT s.sid, s.sid FROM {sessions} s WHERE s.uid = 1/*»

[Tremor]

спасибо, все понятно :-)

[Tremor]

спасибо, все понятно :-)

[chiaroscuro]

SQL (в лучшем случае в виде prepared statement):
SELECT * FROM a WHERE field = 0

HaskellDB (проверка корректности запроса во время компиляции и прочие плюшки):
query = table a >> restrict (a! field .==. constant 0)

DSEL рулят по-черному.

PS поцчему PHP, язык для веба, не дает никаких преимуществ при работе именно в вебе?