Lib/Core/Model.class.php中解析SQL语句的函数parseSql没有对SQL语句进行过滤，使用不当可导致SQL注入。（哈哈，其实用再安全的框架使用不当都可能造成SQLi）
函数：
/**
* 解析SQL语句
* @access public
* @param string $sql SQL指令
* @param boolean $parse 是否需要解析SQL
* @return string
*/
protected function parseSql($sql,$parse) {
// 分析表达式
if(true === $parse) {
$options = $this->_parseOptions();
$sql = $this->db->parseSql($sql,$options);
}elseif(is_array($parse)){ // SQL预处理
$sql = vsprintf($sql,$parse);
}else{
$sql = strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
}
$this->db->setModel($this->name);
return $sql;
}
如果使用以下方式编写查询数据库代码，则会造成SQL注入。
$model=M('test');
$m=$model->query('select * from test where id="%s"',$_GET['id']);
dump($m);
die;
可提交以下请求造成SQLi
http://localhost/Main?id=foo" or 1="1