在不绑定的情况下使用 PDO

时间:2023-05-06
本文介绍了在不绑定的情况下使用 PDO的处理方法,对大家解决问题具有一定的参考价值,需要的朋友们下面随着跟版网的小编来一起学习吧!

问题描述

限时送ChatGPT账号..
$stmt = $conn->prepare('SELECT * FROM users WHERE user_id = :user_id');

$stmt->execute(array(':user_id' => $_GET['user_id']));

$result = $stmt->fetchAll(PDO::FETCH_OBJ);

我正在使用这样的 PDO,我需要清理 GET 参数吗?

I'm using PDO like that, do I need to sanitise GET parameter?

我知道如果我做 $stmt->bindParam(':user_id', $_GET['user_id'], PDO::PARAM_INT); 不是问题.但我的路安全吗?

I know if I do $stmt->bindParam(':user_id', $_GET['user_id'], PDO::PARAM_INT); than it is not a problem. But is my way safe?

推荐答案

是的,它很安全.executebind* 之间的唯一区别是:

Yes, it's safe. The only differences between execute and bind* are:

  • execute 一次接受多个参数,而您必须bind* 单独地bind*每个参数
  • bind* 允许您指定参数类型,而 execute 将所有内容绑定为字符串
  • execute accepts several parameters at once, while you have to bind* each one individually
  • bind* allows you to specify the parameter type, while execute binds everything as strings

将参数传递给execute 主要是一种方便的速记,它仍然是安全的.

Passing parameters to execute is mostly a convenience shorthand, it's still safe.

这篇关于在不绑定的情况下使用 PDO的文章就介绍到这了,希望我们推荐的答案对大家有所帮助,也希望大家多多支持跟版网!

上一篇:获取时Mysql PDO最大LONGBLOB数据长度 下一篇:用于 PDO getColumnMeta() 的 PHP native_type 列表

相关文章