SQL注入

public function actionIndex(){    $id='8 or 1=1 ';    $sql="select * from test where id=$id";    $res=Test::findBySql($sql)->all();    print_r($res);}

or 1=1永远为真，所以，用户可能查出数据库的所有资料。

   为防止SQL注入，方法一：使用占位符；

$sql="select * from test where id=:id";$res=Test::findBySql($sql,array(':id'=>$id))->all();