contao/test — Issue #2683: SQL Felder werden in DC_Table nicht escaped
Author: tristanlins
Created: 2011-11-29 10:06:44+00:00
State: open
Labels: Defect, framework, Invalid

Bei den in der DC_Table zusammengebauten SQL Statements werden die Feldnamen einfach eingefügt, ohne diese zu escapen.
Das führt z.B. dann zu Problemen, wenn man ein Feld "group" hat, einen DCA im Modus 2 und "group" als sorting Field eingetragen ist.
Versucht man nun nach "group" zu sortieren, kommt es zu einem SQL Fehler.

Ich für meinen Teil musste konkret die Zeile DC_Table.php:3607 anpassen:

```
$query .= " ORDER BY `" . implode('`, `', $orderBy) . "`";
```

Ich weiß nicht, ob die backticks ` offizielles SQL-96 Escape-Symbol sind, aber escaped werden sollten die Felder auf jeden Fall.

--- _Originally created on November 19th, 2010, at 01:13pm (ID 2683)_