ThinkPHP框架是国内比较流行的PHP框架之一，虽然跟国外的那些个框架没法比，但优点在于，恩，中文手册很全面。最近研究sql注入，之前用TP框架的时候因为底层提供了安全功能，在开发过程中没怎么考虑安全问题。
一、不得不说的I函数
TP系统提供了I函数用于输入变量的过滤。整个函数主体的意义就是获取各种格式的数据，比如I('get.')、I('post.id')，然后用htmlspecialchars函数（默认情况下）进行处理。
如果需要采用其他的方法进行安全过滤，可以从/ThinkPHP/Conf/convention.PHP中设置：
从/ThinkPHP/Common/functions.PHP中可以找到I函数，源码如下：
* I('id',0); 获取id参数 自动判断get或者post
* I('post.name','','htmlspecialchars'); 获取$_POST['name']
* I('get.'); 获取$_GET
*
* @param string $name 变量的名称 支持指定类型
* @param mixed $default 不存在的时候默认值
* @param mixed $filter 参数过滤方法
* @param mixed $datas 要获取的额外数据源
* @return mixed
*/
function I($name,$default='',$filter=null,$datas=null) {
static $_PUT = null;
if(strpos($name,'/')){ // 指定修饰符
list($name,$type) = explode('/',$name,2);
}elseif(C('VAR_AUTO_STRING')){ // 默认强制转换为字符串
$type = 's';
}
/*根据$name的格式获取数据：先判断参数的来源，然后再根据各种格式获取数据*/
if(strpos($name,'.')) {list($method,$name) = explode('.',2);} // 指定参数来源
else{$method = 'param';}//设定为自动获取
switch(strtolower($method)) {
case 'get' : $input =& $_GET;break;
case 'post' : $input =& $_POST;break;
case 'put' : /*此处省略*/
case 'param' : /*此处省略*/
case 'path' : /*此处省略*/
}
/*对获取的数据进行过滤*/
if('' // 获取全部变量
$data = $input;
$filters = isset($filter)?$filter:C('DEFAULT_FILTER');
if($filters) {
if(is_string($filters)){$filters = explode(',',$filters);} //为多种过滤方法提供支持
foreach($filters as $filter){
$data = array_map_recursive($filter,$data); //循环过滤
}
}
}elseif(isset($input[$name])) { // 取值操作
$data = $input[$name];
$filters = isset($filter)?$filter:C('DEFAULT_FILTER');
if($filters) { /*对参数进行过滤，支持正则表达式验证*/
/*此处省略*/
}
if(!empty($type)){ //如果设定了强制转换类型
switch(strtolower($type)){
case 'a': $data = (array)$data;break; // 数组
case 'd': $data = (int)$data;break; // 数字
case 'f': $data = (float)$data;break; // 浮点
case 'b': $data = (boolean)$data;break; // 布尔
case 's': // 字符串
default:$data = (string)$data;
}
}
}else{ // 变量默认值
$data = isset($default)?$default:null;
}
is_array($data) && array_walk_recursive($data,'think_filter'); //如果$data是数组，那么用think_filter对数组过滤
return $data;
}
恩，函数基本分成三块：
第一块
，获取各种格式的数据。第二块
，对获取的数据进行循环编码，不管是二维数组还是三维数组。第三块
，也就是倒数第二行，调用了think_filter对数据进行了最后一步的神秘处理。让我们先来追踪一下think_filter函数：
这个函数很简单，一眼就可以看出来，在一些特定的关键字后面加个空格。
但是这个叫think_filter的函数，仅仅加了一个空格，到底起到了什么过滤的作用？
我们都知道重要的逻辑验证，如验证是否已登录，用户是否能购买某商品等，必须从服务器端验证，如果从前端验证的话，就很容易被绕过。同一个道理，在程序中，in/exp一类的逻辑结构，最好也是由服务器端来控制。
当从传递到服务器端的数据是这样：id[0]=in&id[1]=1,2,3，如果没有think_filter函数的话，会被解析成下表中的1，也就会被当成服务器端逻辑解析。但如果变成如下表2的样子，因为多了一个空格，无法被匹配解析，也就避免了漏洞。
二、sql注入
相关的文件为:/ThinkPHP/Library/Think/Db.class.PHP(在3.2.3中改为了/ThinkPHP/Library/Think/Db/Driver.class.PHP) 以及 /ThinkPHP/Library/Think/Model.class.PHP。其中Model.class.PHP文件提供的是curd直接调用的函数，直接对外提供接口，Driver.class.PHP中的函数被curd操作间接调用。
大概说一下
TP的处理思路
:首先将Model类实例化为一个user对象，然后调用user对象中的where函数处理$map，也就是将$map进行一些格式化处理之后赋值给user对象的成员变量$options（如果有其他的连贯操作，也是先赋值给user对象的对应成员变量，而不是直接拼接sql语句，所以在写连贯操作的时候，无需像拼接sql语句一样考虑关键字的顺序），接下来调用find函数。
find函数会调用底层的，也就是driver类中的函数——select来获取数据。到了select函数，又是另一个故事了。
select除了要处理curd操作，还要处理pdo绑定，我们这里只关心curd操作，所以在select中调用了buildSelectsql，处理分页信息，并且调用parsesql按照既定的顺序把sql语句组装进去。
虽然拼接sql语句所需要的参数已经全部放在成员变量里了，但是格式不统一，有可能是字符串格式的，有可能是数组格式的，还有可能是TP提供的特殊查询格式，比如：$data['id']=array('gt','100');，所以在拼接之前，还要调用各自的处理函数，进行统一的格式化处理。我选取了parseWhere这个复杂的典型来分析。
关于安全方面的，如果用I函数来获取数据，那么会默认进行htmlspecialchars处理，能有效抵御xss攻击，但是对sql注入没有多大影响。
在过滤有关sql注入有关的符号的时候，TP的做法很机智：先是按正常逻辑处理用户的输入，然后在最接近最终的sql语句的parseWhere、parseHaving等函数中进行安全处理。这样的顺序避免了在处理的过程中出现注入。
当然处理的方法是最普通的addslashes，根据死在沙滩上的前浪们说，推荐使用MysqL_real_escape_string来进行过滤，但是这个函数只能在已经连接了数据库的前提下使用。
感觉TP在这个地方可以做一下优化，毕竟走到这一步的都是连接了数据库的。
恩，接下来，分析开始：
先说几个Model对象中的成员变量：
return $this;
}
where函数的逻辑很简单，如果是where('id=%d&name=%s',$name))这种格式，那就对$id,$name变量调用MysqL里的escapeString进行处理。escapeString的实质是调用MysqL_real_escape_string、addslashes等函数进行处理。
最后将分析之后的数组赋值到Model对象的成员函数——$where中供下一步处理。
再分析find函数：
<div class="jb51code">
<pre class="brush:php;">
//model.class.php 行721 版本3.2.3
public function find($options=array()) {
if(is_numeric($options) || is_string($options)){ /如果传递过来的数据是字符串，不是数组/
$where[$this->getPk()] = $options;
$options = array();
$options['where'] = $where; /提取出查询条件，并赋值/
}
// 根据主键查找记录
$pk = $this->getPk();
if (is_array($options) && (count($options) > 0) && is_array($pk)) {
/构造复合主键查询条件，此处省略/
}
$options['limit'] = 1; // 总是查找一条记录
$options = $this->_parSEOptions($options); // 分析表达式
if(isset($options['cache'])){
/缓存查询，此处省略/
}
$resultSet = $this->db->select($options);
if(false === $resultSet){ return false;}
if(empty($resultSet)) { return null; } // 查询结果为空
if(is_string($resultSet)){ return $resultSet;} //查询结果为字符串
// 读取数据后的处理，此处省略简写
$this->data = $this->_read_data($resultSet[0]);
return $this->data;
}
