$stmt = $conn->prepare('SELECT * FROM users WHERE user_id = :user_id');
$stmt->execute(array(':user_id' => $_GET['user_id']));
$result = $stmt->fetchAll(PDO::FETCH_OBJ);
我正在像那样使用 PDO,我需要清理 GET 参数吗?
我知道如果我执行 $stmt->bindParam(':user_id', $_GET['user_id'], PDO::PARAM_INT);
这不是问题。但是我的方式安全吗?
最佳答案
是的,这是安全的。 execute
和 bind*
之间的唯一区别是:
execute
一次接受多个参数,而您必须单独bind*
每个参数bind*
允许您指定参数类型,而execute
将所有内容绑定(bind)为字符串
将参数传递给execute
主要是一种方便的速记,它仍然是安全的。
关于php - 在不绑定(bind)的情况下使用 PDO,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/21110329/