SQL注入

public function actionIndex(){
    $id='8 or 1=1 ';
    $sql="select * from test where id=$id";
    $res=Test::findBySql($sql)->all();
    print_r($res);
}

or 1=1永远为真，所以，用户可能查出数据库的所有资料。

   为防止SQL注入，方法一：使用占位符；

$sql="select * from test where id=:id";
$res=Test::findBySql($sql,array(':id'=>$id))->all();