Laravel 的模型中有两个protected属性的字段:fillable
与 guarded
们经常通过提交表单进行数据的增删改,为了方便的进行数据批量修改操作 Laravel 提供了批量赋值机制:假如我们想要在数据库表中添加一行,我们可以使用模型这么操作:
$post = Post::create($request->all());
这样我们就直接将表单中提交过来的所有信息直接录入进了数据库,是不是很方便,但是 这样是非常不安全的,对于用户输入的数据,我们应该永远的谨慎对待。 假如我们的 posts 表里有一个字段 user_id,是用来标记发布者的,按照以上的写法,用户可以伪造成任何人发布内容,只需要模拟表单提交并设定 user_id 字段即可。 此问题是被我们也称为批量注入 的安全问题。
Laravel 中的模型就提供了 fillable 和 guarded,是专门用来解决批量注入问题的。使用也是非常简单,两者是 互斥关系,存在一个就好,如果同时存在,fillable 优先级较高。
fillable 变量存储允许自动填充模型字段的数组,可以理解为字段修改 白名单,比如:
protected $fillable = ['title', 'body', 'category_id'];
而 guarded
变量存储 不允许 自动填充的模型字段,是修改字段的黑名单,比如:
protected $guarded=['user_id']
注意:当模型中未指定 fillable 与 guarded 时,即 $fillable=[] and $guarded=[‘*’] 时,传入模型实例化参数时会报 MassAssignmentException 错误。每一次当你看到此提示,应该很欣慰,因为这是 Laravel 为你避免批量注入的安全问题。