Как переписать sql-запрос в ActiveQuery?

Question

[Iossarian]

Добрый день. Есть не совсем простой sql-запрос, который надо переписать в ActiveQuery, дабы избежать возможных sql-инъекций. Собственно запрос:

SELECT 
`policy`.`id`,
`operator_id` as 'id оператора',
`email оператора`,
`ФИО`,
`av_user`.`subdivision` as 'Подразделение от АВ',
`av_user`.`curator` as 'Куратор от АВ',
`policy`.`payed_date` as 'Дата оплаты',
`policy`.`cost` as 'СП',
`policy`.`user_remuneration` as 'КВ'

FROM  (select *,
replace(JSON_EXTRACT(`parameters`, '$.users.operator.email'), '"', '') as `email оператора`,
replace(JSON_EXTRACT(`parameters`, '$.users.operator.full_name'), '"', '') as `ФИО`,
JSON_EXTRACT(`parameters`, '$.users.operator.id') as `operator_id`
FROM `partner__data` 
) as tt 
LEFT JOIN `av_user` on `av_user`.`id` = tt.`operator_id`
LEFT JOIN `policy` on `policy`.`id` = tt.`policy_id`
WHERE LOWER(`ФИО`) like LOWER('%$name%')
AND policy.`payed_date` between '$min' and '$max' 
GROUP BY policy.`payed_date` 
ORDER BY policy.`payed_date`

Все бы ничего, если бы не

FROM  (select *,
replace(JSON_EXTRACT(`parameters`, '$.users.operator.email'), '"', '') as `email оператора`,
replace(JSON_EXTRACT(`parameters`, '$.users.operator.full_name'), '"', '') as `ФИО`,
JSON_EXTRACT(`parameters`, '$.users.operator.id') as `operator_id`
FROM `partner__data` 
) as tt

Подобный момент вводит в заблуждение. Подскажите, как правильно оформить? Спасибо.

Comments

[Максим]

А нельзя использовать Expression?

[Iossarian]

Максим, как вариант. Этим способом еще не пользовался. Он также защищает от sql-инъекций, верно?

[Максим]

Iossarian, вам же не все данные нужно защищать от инъекций. Вам нужно только те, которые вводятся пользователем. Такие параметры надо обрабатывать так:
andWhere(“id = :id)
addParam(“id”=>$id)

Как то так)

[Iossarian]

Максим, да, разобрался, забиндил то, что было нужно. Спасибо за совет.

Answer 1

[Максим]

А нельзя использовать Expression?