在不绑定的情况下使用PDO [英] Using PDO without binding

问题描述

$stmt = $conn->prepare('SELECT * FROM users WHERE user_id = :user_id');

$stmt->execute(array(':user_id' => $_GET['user_id']));

$result = $stmt->fetchAll(PDO::FETCH_OBJ);

我正在使用PDO，是否需要清理GET参数?

I'm using PDO like that, do I need to sanitise GET parameter?

我知道我是否要执行$stmt->bindParam(':user_id', $_GET['user_id'], PDO::PARAM_INT);，这不是问题.但是我的方法安全吗?

I know if I do $stmt->bindParam(':user_id', $_GET['user_id'], PDO::PARAM_INT); than it is not a problem. But is my way safe?

推荐答案

是的，这很安全. execute和bind*之间的唯一区别是:

Yes, it's safe. The only differences between execute and bind* are:

• execute一次接受多个参数，而您必须分别单独bind*一个
• bind*允许您指定参数类型，而execute则将所有内容绑定为字符串

• execute accepts several parameters at once, while you have to bind* each one individually
• bind* allows you to specify the parameter type, while execute binds everything as strings

将参数传递给execute主要是一种方便的快捷方式，它仍然是安全的.

Passing parameters to execute is mostly a convenience shorthand, it's still safe.

这篇关于在不绑定的情况下使用PDO的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持IT屋！