Экранирование запросов в Active Record

[Haku]

Опытные разработчики на Yii, подскажите, пожалуйста, принцип использования передачи пользовательских данных через привязку параметров.
Например, в этом случае нужно обязательно передавать данные через параметры:

Код: Выделить всё

$models = Post::find()
    ->where('user_id = ' . $userId)
    ->all();

А, например, в этих случаях нужно использовать параметры или нет?

Код: Выделить всё

$models = Comment::find()
    ->where([
        'status' => Comment::STATUS_APPROVED,
        'post_id' => $postId
    ])
    ->all();

Код: Выделить всё

$models = Comment::find()
    ->where(['in', 'post_id', $postIds])
    ->all();

Код: Выделить всё

$models = Comment::find()
    ->where(['like', 'author', $authorName])
    ->all();

То есть в каких случаях нужно использовать params(), а когда фреймворк сам экранирует полученные данные? Помню в Yii 1.1 методы findByAttributes() и findAllByAttributes() сами экранировали все значения атрибутов, переданные первым параметром, а в Yii 2.0 что-то не смог с этим разобраться.

[samdark]

В первом надо заменить на параметры. В остальных фреймворк сделает это за вас.

[Haku]

Первый, это который "'user_id = ' . $userId"?
Правильно ли я понимаю, что фреймворк будет автоматически экранировать все условия в формате массива и формате операторов — [operator, operand1, operand2], за исключением операторов "AND" и "OR"?

[maleks]

Первый, это который "'user_id = ' . $userId"?

да, в нем. Тут вы вручную составили текст запроса, поэтому тут вы сами.
А во всех других случаях, когда вы используете эти методы, как сказано в доках, фрейм сам будет эскейпить. Потому что иначе он бы должен был предупреждать в доках, мол тут вы сами эскейпте, но этого же нет.