php框架防止注入代码-PHP 튜토리얼-php.cn

属性的注入

以读取为例，如果访问 $Component->property1 ，Yii在幕后干了些什么呢？这个看看 yii\base\Component::__get()

public function __get($name)

{

$getter = 'get' . $name;

if (method_exists($this, $getter)) {

return $this->$getter();

} else {

// 注意这个 else 分支的内容，正是与 yii\base\Object::__get() 的

// 不同之处

$this->ensureBehaviors();

foreach ($this->_behaviors as $behavior) {

if ($behavior->canGetProperty($name)) {

// 属性在行为中须为 public。否则不可能通过下面的形式访问呀。

return $behavior->$name;

}

if (method_exists($this, 'set' . $name)) {

throw new InvalidCallException('Getting write-only property: ' .

get_class($this) . '::' . $name);

} else {

throw new UnknownPropertyException('Getting unknown property: ' .

get_class($this) . '::' . $name);

}

重点来看 yii\base\Compoent::__get() 与 yii\base\Object::__get() 的不同之处。就是在于对于未定义getter函数之后的处理， yii\base\Object 是直接抛出异常，告诉你想要访问的属性不存在之类。但是 yii\base\Component 则是在不存在getter之后，还要看看是不是注入的行为的属性：

首先，调用了 $this->ensureBehaviors() 。这个方法已经在前面讲过了，主要是确保行为已经绑定。

在确保行为已经绑定后，开始遍历 $this->_behaviors 。 Yii将类所有绑定的行为都保存在 yii\base\Compoent::$_behaviors[] 数组中。

最后，通过行为的 canGetProperty() 判断这个属性，是否是所绑定行为的可读属性，如果是，就返回这个行为的这个属性 $behavior->name 。完成属性的读取。至于 canGetProperty() 已经在 :ref::property 部分已经简单讲过了，后面还会有针对性地一个介绍。

对于setter，代码类似，这里就不占用篇幅了。

方法的注入

与属性的注入通过 __get() __set() 魔术方法类似， Yii通过 __call() 魔术方法实现对行为中方法的注入:

public function __call($name, $params)

{

$this->ensureBehaviors();

foreach ($this->_behaviors as $object) {

if ($object->hasMethod($name)) {

return call_user_func_array([$object, $name], $params);

}

throw new UnknownMethodException('Calling unknown method: ' .

get_class($this) . "::$name()");

}

从上面的代码中可以看出，Yii还是先是调用了 $this->ensureBehaviors() 确保行为已经绑定。

然后，也是遍历 yii\base\Component::$_behaviros[] 数组。通过 hasMethod() 方法判断方法是否存在。如果所绑定的行为中要调用的方法存在，则使用PHP的 call_user_func_array() 调用之。至于 hasMethod() 方法，我们后面再讲。

注入属性与方法的访问控制

在前面我们针对行为中public和private、protected的成员在所绑定的类中是否可访问举出了具体例子。这里我们从代码层面解析原因。

在上面的内容，我们知道，一个属性可不可访问，主要看行为的 canGetProperty() 和 canSetProperty() 。而一个方法可不可调用，主要看行为的 hasMethod() 。由于 yii\base\Behavior 继承自我们的老朋友 yii\base\Object ，所以上面提到的三个判断方法，事实上代码都在 Object 中。我们一个一个来看:

public function canGetProperty($name, $checkVars = true)

{

return method_exists($this, 'get' . $name) || $checkVars &&

property_exists($this, $name);

}

public function canSetProperty($name, $checkVars = true)

{

return method_exists($this, 'set' . $name) || $checkVars &&

property_exists($this, $name);

}

public function hasMethod($name)

{

return method_exists($this, $name);

}

这三个方法真的谈不上复杂。对此，我们可以得出以下结论：

当向Component绑定的行为读取（写入）一个属性时，如果行为为该属性定义了一个getter (setter)，则可以访问。或者，如果行为确实具有该成员变量即可通过上面的判断，此时，该成员变量可为 public, private, protected。但最终只有 public 的成员变量才能正确访问。原因在上面讲注入的原理时已经交待了。

当调用Component绑定的行为的一个方法时，如果行为已经定义了该方法，即可通过上面的判断。此时，这个方法可以为 public, private, protected。但最终只有 public 的方法才能正确调用。如果你理解了上一款的原因，那么这里也就理解了。

依赖注入容器

依赖注入（Dependency Injection，DI）容器就是一个对象，它知道怎样初始化并配置对象及其依赖的所有对象。Martin 的文章已经解释了 DI 容器为什么很有用。这里我们主要讲解 Yii 提供的 DI 容器的使用方法。

依赖注入

Yii 通过 yii\di\Container 类提供 DI 容器特性。它支持如下几种类型的依赖注入：

1.构造方法注入;

2.Setter 和属性注入;

3.PHP 回调注入.

4.构造方法注入

在参数类型提示的帮助下，DI 容器实现了构造方法注入。当容器被用于创建一个新对象时，类型提示会告诉它要依赖什么类或接口。容器会尝试获取它所依赖的类或接口的实例，然后通过构造器将其注入新的对象。例如：

class Foo

{

public function __construct(Bar $bar)

{

}

$foo = $container->get('Foo');

// 上面的代码等价于：

$bar = new Bar;

$foo = new Foo($bar);

Setter 和属性注入

Setter 和属性注入是通过配置提供支持的。当注册一个依赖或创建一个新对象时，你可以提供一个配置，该配置会提供给容器用于通过相应的 Setter 或属性注入依赖。例如：

use yii\base\Object;

class Foo extends Object

{

public $bar;

private $_qux;

public function getQux()

{

return $this->_qux;

}

public function setQux(Qux $qux)

{

$this->_qux = $qux;

}

$container->get('Foo', [], [

'bar' => $container->get('Bar'),

'qux' => $container->get('Qux'),

]);

PHP 回调注入

这种情况下，容器将使用一个注册过的 PHP 回调创建一个类的新实例。回调负责解决依赖并将其恰当地注入新创建的对象。例如：

$container->set('Foo', function () {

return new Foo(new Bar);

});

$foo = $container->get('Foo');

注册依赖关系

可以用 yii\di\Container::set() 注册依赖关系。注册会用到一个依赖关系名称和一个依赖关系的定义。依赖关系名称可以是一个类名，一个接口名或一个别名。依赖关系的定义可以是一个类名，一个配置数组，或者一个 PHP 回调。

$container = new \yii\di\Container;

// 注册一个同类名一样的依赖关系，这个可以省略。

$container->set('yii\db\Connection');

// 注册一个接口

// 当一个类依赖这个接口时，相应的类会被初始化作为依赖对象。

$container->set('yii\mail\MailInterface', 'yii\swiftmailer\Mailer');

// 注册一个别名。

// 你可以使用 $container->get('foo') 创建一个 Connection 实例

$container->set('foo', 'yii\db\Connection');

// 通过配置注册一个类

// 通过 get() 初始化时，配置将会被使用。

$container->set('yii\db\Connection', [

'dsn' => 'mysql:host=127.0.0.1;dbname=demo',

'username' => 'root',

'password' => '',

'charset' => 'utf8',

]);

// 通过类的配置注册一个别名

// 这种情况下，需要通过一个 “class” 元素指定这个类

$container->set('db', [

'class' => 'yii\db\Connection',

'dsn' => 'mysql:host=127.0.0.1;dbname=demo',

'username' => 'root',

'password' => '',

'charset' => 'utf8',

]);

// 注册一个 PHP 回调

// 每次调用 $container->get('db') 时，回调函数都会被执行。

$container->set('db', function ($container, $params, $config) {

return new \yii\db\Connection($config);

});

// 注册一个组件实例

// $container->get('pageCache') 每次被调用时都会返回同一个实例。

$container->set('pageCache', new FileCache);

Tip: 如果依赖关系名称和依赖关系的定义相同，则不需要通过 DI 容器注册该依赖关系。

通过 set() 注册的依赖关系，在每次使用时都会产生一个新实例。可以使用 yii\di\Container::setSingleton() 注册一个单例的依赖关系：

$container->setSingleton('yii\db\Connection', [

'dsn' => 'mysql:host=127.0.0.1;dbname=demo',

'username' => 'root',

'password' => '',

'charset' => 'utf8',

]);

解决依赖关系

注册依赖关系后，就可以使用 DI 容器创建新对象了。容器会自动解决依赖关系，将依赖实例化并注入新创建的对象。依赖关系的解决是递归的，如果一个依赖关系中还有其他依赖关系，则这些依赖关系都会被自动解决。

可以使用 yii\di\Container::get() 创建新的对象。该方法接收一个依赖关系名称，它可以是一个类名，一个接口名或一个别名。依赖关系名或许是通过 set() 或 setSingleton() 注册的。你可以随意地提供一个类的构造器参数列表和一个configuration 用于配置新创建的对象。例如：

// "db" 是前面定义过的一个别名

$db = $container->get('db');

// 等价于： $engine = new \app\components\SearchEngine($apiKey, ['type' => 1]);

$engine = $container->get('app\components\SearchEngine', [$apiKey], ['type' => 1]);

代码背后，DI 容器做了比创建对象多的多的工作。容器首先将检查类的构造方法，找出依赖的类或接口名，然后自动递归解决这些依赖关系。

如下代码展示了一个更复杂的示例。UserLister 类依赖一个实现了 UserFinderInterface 接口的对象；UserFinder 类实现了这个接口，并依赖于一个 Connection 对象。所有这些依赖关系都是通过类构造器参数的类型提示定义的。通过属性依赖关系的注册，DI 容器可以自动解决这些依赖关系并能通过一个简单的 get('userLister') 调用创建一个新的 UserLister 实例。

namespace app\models;

use yii\base\Object;

use yii\db\Connection;

use yii\di\Container;

interface UserFinderInterface

{

function findUser();

}

class UserFinder extends Object implements UserFinderInterface

{

public $db;

public function __construct(Connection $db, $config = [])

{

$this->db = $db;

parent::__construct($config);

}

public function findUser()

{

}

class UserLister extends Object

{

public $finder;

public function __construct(UserFinderInterface $finder, $config = [])

{

$this->finder = $finder;

parent::__construct($config);

}

$container = new Container;

$container->set('yii\db\Connection', [

'dsn' => '...',

]);

$container->set('app\models\UserFinderInterface', [

'class' => 'app\models\UserFinder',

]);

$container->set('userLister', 'app\models\UserLister');

$lister = $container->get('userLister');

// 等价于:

$db = new \yii\db\Connection(['dsn' => '...']);

$finder = new UserFinder($db);

$lister = new UserLister($finder);

实践中的运用

当在应用程序的入口脚本中引入 Yii.php 文件时，Yii 就创建了一个 DI 容器。这个 DI 容器可以通过 Yii::$container 访问。当调用 Yii::createObject() 时，此方法实际上会调用这个容器的 yii\di\Container::get() 方法创建新对象。如上所述，DI 容器会自动解决依赖关系（如果有）并将其注入新创建的对象中。因为 Yii 在其多数核心代码中都使用了 Yii::createObject() 创建新对象，所以你可以通过 Yii::$container 全局性地自定义这些对象。

例如，你可以全局性自定义 yii\widgets\LinkPager 中分页按钮的默认数量:

\Yii::$container->set('yii\widgets\LinkPager', ['maxButtonCount' => 5]);

这样如果你通过如下代码在一个视图里使用这个挂件，它的 maxButtonCount 属性就会被初始化为 5 而不是类中定义的默认值 10。

echo \yii\widgets\LinkPager::widget();

然而你依然可以覆盖通过 DI 容器设置的值：

echo \yii\widgets\LinkPager::widget(['maxButtonCount' => 20]);

另一个例子是借用 DI 容器中自动构造方法注入带来的好处。假设你的控制器类依赖一些其他对象，例如一个旅馆预订服务。你可以通过一个构造器参数声明依赖关系，然后让 DI 容器帮你自动解决这个依赖关系。

namespace app\controllers;

use yii\web\Controller;

use app\components\BookingInterface;

class HotelController extends Controller

{