CI3原生SQL执行update语句参数绑定安全写法-php教程-PHP中文网

codeigniter 3不支持原生sql参数绑定，易致sql注入；应优先使用query builder（如where/update自动转义），或通过pdo预处理执行原生sql，严禁拼接用户输入。

ci3原生sql执行update语句参数绑定安全写法

CodeIgniter 3（CI3）本身不支持原生 SQL 中的参数绑定（如 ?1 或 :name），其 $this->db->query() 方法直接执行字符串，**若拼接用户输入，极易触发 SQL 注入**。但 CI3 提供了安全替代方案——不是靠“原生 SQL + 手动绑定”，而是通过查询构造器（Query Builder）或预处理式封装来保障安全。

用 Query Builder 替代原生 UPDATE（最推荐）

CI3 的 $this->db->where()、$this->db->update() 等方法底层自动使用 PDO 预编译占位符，输入值全程作为参数传递，不参与 SQL 解析：

安全写法示例：

$data = ['status' => 'active', 'updated_at' => date('Y-m-d H:i:s')];<br>$this->db->where('id', $user_id); // 自动转义 $user_id<br>$this->db->where('tenant_id', $tenant_id); // 多条件也安全<br>$this->db->update('users', $data);

所有 where() 值、update() 的数据值，均由 CI3 内部调用 escape() 或绑定到 PDO Statement，杜绝注入。
无需手动写 SQL，字段名、表名由框架控制，避免引号/括号误配问题。

必须用原生 SQL 时：自行封装 PDO 预处理

CI3 的数据库句柄（$this->db->conn_id）是原生 PDO 对象，可直接调用 prepare() 和 execute()：

MOKI

一款面向AI短片创作的视觉内容工具，可辅助生成故事分镜和视频素材，适合从创意构思快速推进到动态内容制作。

下载

安全写法示例：

$pdo = $this->db->conn_id;<br>$stmt = $pdo->prepare("UPDATE users SET status = ?, updated_at = ? WHERE id = ? AND tenant_id = ?");<br>$stmt->execute([$status, date('Y-m-d H:i:s'), $id, $tenant_id]);

完全绕过 CI3 查询解析器，直连 PDO 预编译机制，语义清晰、防御彻底。
注意：需确保 $this->db 已初始化且启用 PDO（默认 MySQLi，需在 database.php 中配置 'dbdriver' => 'pdo' 并指定 'subdriver'）。

绝对避免的写法（高危！）

以下方式将用户变量直接拼入 SQL 字符串，属于典型注入漏洞：

$this->db->query("UPDATE users SET status = '$status' WHERE id = $id");
$sql = "UPDATE users SET ... WHERE id = " . $_GET['id']; $this->db->query($sql);
哪怕加了 mysql_real_escape_string()（已废弃）或简单 htmlspecialchars()，也无法覆盖所有边界场景（如数字上下文无引号、正则绕过等）。