cakephp3でSQL 文で使用する文字列の特殊文字をエスケープしたい

Question

お世話になります。

cakephp3でSQL文を作成する際にクォーテーション等の文字をエスケープしたいと考えています。

http://www.phppro.jp/phpmanual/php/mysqli.real-escape-string.html
こちらのサイトを参考に、
mysqli_real_escape_stringを使用することでエスケープすることができることがわかり
1つめの引数に接続先DBの情報を渡すこともわかりました。

その際にcakephpではbin/app.phpに設定が書かれていると思うのですが
それを活用することはできないのでしょうか？
直接指定してしまうとDBが変わった際にmysqli_real_escape_stringに渡す引数も変更をしなければならないのでは？と考えています。
できれば直接指定はしたくないためapp.phpで指定している内容を引用することはできないのでしょうか？

またcakephpにmysqli_real_escape_stringと同じような機能をもつ関数があるのでしょうか？

回答、アドバイス等よろしくお願いします。

補足：
環境としてはPHP 7.0.0以降を対象にしているため、
mysql_real_escape_stringは使用できない状態です。

Answer 1

CakePHP3 で SQL を直で叩くならこんな感じになります。

$conn = ConnectionManager::get('default');
$sql = <<< 'SQLEND'
INSERT INTO test(no, name) VALUES (?, ?);
SQLEND;

$conn->execute($sql, [ '1', $nameValue ]);

この辺は
CakePHP クックブックのデータベースの基本に書かれているのでご一読ください。

Comments

[taiyo-2017]

登録処理を行えるようになりました！
サンプルコードも書いていただいたのでベストアンサーとさせていただきます。
ありがとうございました！

Answer 2

ネット検索すると、
データのサニタイズ - 2.x
Sanitizeクラスってのがかつてあって、2.4以降非推奨、3.0以降削除となっているようです。

そのドキュメントに、

CakePHP は、Model::find() や Model::save() に対して 全てのパラメータで SQL エスケープ処理をします。まれにユーザ入力を使って SQL を手で組む必要がある場合、 準備済みステートメント を使用すべきです。

とあるので、プリペアドステートメントを使ってさえいればエスケープ処理をしなくても差し支えなさそうな感じです。

ステートメントとの対話
のあたりとか。

php - CakePHPのサニタイズの代わりに使えるおすすめのライブラリは? - スタック・オーバーフローの議論も参考に。

Comments

[taiyo-2017]

回答ありがとうございます！
prepare、bindといったものがあるのですね！
ですがこういった書き方をしているのですが、どのように修正したらよいのかが分かりません…。
「no」と「name」の値に対しておこなえたらと思っています。
アドバイスいただけないでしょうか？
現在のPGは以下のようになっています。
------------------
$test = TableRegistry::get("test");

$sql = "INSERT INTO test(";
$sql .= "no, ";
$sql .= "name";
$sql .= " ) VALUES ( ";
$sql .= "1, ";
$sql .= "nameValue";
$sql .= " );";

$results = $test->connection()->execute($sql);

[退会済みユーザー]

TableRegistryってなにを継承したクラスですか？ Cake\ORM\Table継承ってことでよろしい？

[taiyo-2017]

use Cake\ORM\TableRegistry; を記述して使用しています。

[taiyo-2017]

タイトルの問題は解決いたしました。
エスケープが不要であったりbindというものを知らなかったため勉強になりました。
回答ありがとうございました！