Comments on: 你的 CakePHP 应用安全吗？

By: 老王

老王 — Thu, 13 Sep 2007 02:46:30 +0000

model中save方法的第三个参数就是干这个的：
/**
* Saves model data to the database.
* By default, validation occurs before save.
*
* @param array $data Data to save.
* @param boolean $validate If set, validation will be done before the save
* @param array $fieldList List of fields to allow to be written
* @return boolean success
*/
function save($data = null, $validate = true, $fieldList = array())

By: Nio

Nio — Thu, 13 Sep 2007 07:17:08 +0000

to 老王：这第三个参数对 id 起不到过滤作用的，因为 id 在 $this->set($data);（save() 方法中）的时候就被设置到 Model::$id 属性中的，而这个 id 恰恰被用于判断是 update 还是 create。你可以在表单中加入一个 hidden 的 id 字段，指向已存在的记录，测试一下就一目了然了。

By: 老王

老王 — Thu, 13 Sep 2007 08:58:18 +0000

看了一下cake的源代码，还真是这样，save之前调用create形同虚设，看来这个cake的一个bug，不应该允许id随便设置。