Spatie软件包，尤其是Laravel-Firstriend Package，有助于通过与Laravel的内置安全机制集成，而不是直接实施自己的SQL注入预防功能，从而有助于防止SQL注入。这是如何详细介绍SQL注射预防的：
1。利用Laravel的查询构建器和雄辩的ORM
Spatie的软件包使用Laravel的雄辩Orm和查询构建器与数据库进行交互。 Laravel的查询构建器和雄辩会自动使用参数化查询和准备的语句，这些查询和准备的语句将SQL代码与用户输入数据分开。这意味着用户输入永远不会直接连接到SQL字符串中，从而阻止攻击者注入恶意SQL代码。 Laravel在执行查询之前正确逃脱了输入值，从而减轻了SQL注入风险[1] [5]。
2。没有原始查询的角色和许可管理
Spatie软件包通过“角色”和“许可”等雄辩的模型来管理角色和权限。当您分配权限或角色时，您会使用``$ cole-> givepermissionto''($ clibsighmiss)
`$ roun-> wermermiss)'`$''($ clisemission)3。避免不安全的动态查询
尽管Laravel的查询构建器可以防止在值中注入，但它并不能自动保护动态列名称或原始SQL片段。 Spatie软件包不允许未经过滤的用户输入直接影响查询结构(例如列名称或顺序条款)，这是一个常见的注入向量，可以避免不安全的动态SQL。这很重要，因为Laravel的保护适用于值，但不适用于SQL标识符[7]等SQL标识符。
4。鼓励至少特权原则
该软件包还鼓励最佳实践，例如限制用户的数据库权限。通过仅向数据库用户分配必要的权限，即使发生注射攻击，损坏也受到限制。这一特权最少的原则通过减少潜在攻击影响来补充SQL注入预防[1]。
5。没有直接的RAW SQL用法
该软件包在可能的情况下避免使用RAW SQL查询。如果需要原始查询，Laravel的建议方法是明确使用准备的陈述或参数绑定来确保输入被消毒，通过依靠Laravel的查询构建器和阐述的ORM来遵守，这会遵守这一问题[5]。
总而言之，Spatie软件包有助于通过依靠Laravel的安全查询构建和参数绑定机制，避免不安全的原始SQL并促进最佳实践(例如最小特权)，从而有助于防止SQL注入。它本身并不能实施SQL注入预防，而是利用Laravel的强大功能来确保在管理角色和权限时安全数据库相互作用[1] [5] [7]。
引用：
[1] https://escape.tech/blog/laravel-sql-indoction/
[2] https://www.stackhawk.com/blog/sql-indoction-prevention-laravel/
[3] https://www.reddit.com/r/laravel/comments/bbxhoc/unsafe_sql_functions_be_aware_of_your/
[4] https://stitcher.io/blog/unsafe-sql-functions in-laravel
[5] https://pentest-tools.com/blog/laravel-application-security-guide
[6] https://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injoction-in-php
[7] https://swiftmade.co/blog/2019-04-10-rorderby-sql-invicement/
[8] https://www.acunetix.com/websitesecurity/sql-injection/