Как исправить ошибку: Argument 1 passed to User::Auth() must be an instance of string, string given?

Question

[Avery007]

Код функции Auth, класса User:

public  function Auth(string $login, string $password) 
{ 
     if (isLoginExist($login)) return "badlogin"; 
     $result = $this->db->getRow("SELECT * FROM `users` WHERE login='$login' and password='$password'"); 
     if (empty($result)) return false; 
        return true; 
}

Сам вызов:

$user = new User();
echo $user->Auth('test', 'test');

Ошибка гласит, что первый аргумент, переданный User::Auth() должен быть строкой, строка передана.
Это вообще нормально?

Answer 1

[Сергей Кудрин]

Первый аргумент должен быть не строкой а объектом класса string, как и второй.
В php можно уточнить только или имя класса или тип array.
Исправить, соответственно, можно или убрав уточнение или скормив ему объекты класса String.

Comments

[Avery007]

@finkel А как сделать из простой строки объект класса string, на будущее мне,

Answer 2

[Евгений Корсуков]

Прочтите здесь, как написали выше, при даной конструкции

public  function Auth(string $login, string $password)

php считает что переменая login будет является объектом класса string, а вы передаете строку.

Answer 3

[Melkij]

Type hinting для скалярных типов данных всё ещё не поддерживается.
Когда добавят - непонятно. RFC уже полтора года висит: https://wiki.php.net/rfc/scalar_type_hinting_with_cast

if (isLoginExist($login)) return "badlogin";
Если такой логин есть, то вернуть badlogin?
В следующей строке предполагается, что экранировать данные должен клиентский код, а не DBAL самостоятельно?

Comments

[Avery007]

@Melkij Насчет badlogin'а, я просто скопировал код с прям с темы, которую создавал на другом форуме, где мне не помогли.
Создавал я, тогда, когда только появилась ошибка.
А пока искал решение, уже без string, тестировал и нашел эту ошибку. А еще эта функция в этом же классе, а я ее без this вызывал.

[Avery007]

@Melkij А что вы имеете ввиду под "В следующей строке предполагается, что экранировать данные должен клиентский код, а не DBAL самостоятельно?"?

[Melkij]

@Avery007 , вы подставляете в SQL запрос строковые значения.
Во-первых, так делать нельзя. Используйте prepared statements.
Во-вторых, вы их подставляете без какого-либо экранирования. Значит экранированием должен заниматься код, который вызывает этот метод (клиентским обычно называется, т.к. пользователь этого класса), что неверно, или экранирования не происходит вовсе. Привет уязвимости.

[Avery007]

@Melkij я использую этот класс для БД: habrahabr.ru/post/165069 . Функциями безопасности занимается он.

[Melkij]

@Avery007 вы вставляете значения напрямую в запрос.
Если бы в полученной _одной слитной_ строке было возможно отделить данные от управляющих команд - такого понятия как SQL-инъекция бы не существовало, сам сервер СУБД бы и разбирал что где. Но это невозможно. Значит, у вас дыра открыта.
Проверяется же элементарно.

[Avery007]

@Melkij насколько я знаю, экранирует кавычки, с помощью которых инъекция и делается, функция mysqli_real_escape_string. Так вот, прежде чем отправить запрос к БД, этот класс прогоняет запрос через эту функцию и другие. Мне это делать не надо.

[Avery007]

@Melkij Да и это только заготовка методов, проверять аргументы я буду уже в другом классе, прежде чем их отсылать.

[Melkij]

@Avery007 вам это делать не надо, если вы правильно пользуетесь этой библиотекой. А это предположение неверно.

Тупая логика:
Вызывается метод getRow с единственным аргументом:

SELECT * FROM `users` WHERE login='root' -- '' and password='somepassword'

Вот каким образом этот метод должен узнать, что этот запрос должен быть приведён к виду:

SELECT * FROM `users` WHERE login='root\' -- \'' and password='somepassword'

?

Посмотрите на статью, на которую сами сослались. Я даже процитирую:
"Любые — без исключений! — динамические элементы попадают в запрос только через плейсхолдеры."
Где у вас хотя бы один плейсхолдер?

[Avery007]

@Melkij Перечитал еще раз, выше вашей цитаты в тексте, написано, что "Безопасность обеспечивается теми самыми двумя правилами, которые я сформулировал в статье."
Это объяснение, что встроено в этот класс. То есть запрос, который я пишу в параметре getRow и других функций, используется в запросе только после того, как прошел через эти плейсхолдеры.
Плюс эта цитата:
В двух словах, класс строится вокруг набора функций-хелперов, позволяющих выполнять большинство операций с БД в одну строку, обеспечивая при этом (в отличие от стандартных API) полную защиту от SQL инъекций, реализованную с помощью расширенного набора плейсхолдеров, защищающих любые типы данных, которые могут попадать запрос.

[Avery007]

@Melkij Упс, понял свой косяк. Буду исправляться. Спасибо.