$stmt = $conn->prepare('SELECT * FROM users WHERE user_id = :user_id');

$stmt->execute(array(':user_id' => $_GET['user_id']));

$result = $stmt->fetchAll(PDO::FETCH_OBJ);

我正在使用PDO,是否需要清理GET参数?

我知道我是否执行$stmt->bindParam(':user_id', $_GET['user_id'], PDO::PARAM_INT);比这不是问题。但是我的方法安全吗?

最佳答案

是的,这很安全。 executebind*之间的唯一区别是:

  • execute一次接受多个参数,而您必须分别对每个参数进行bind*
  • bind*允许您指定参数类型,而execute将所有内容绑定(bind)为字符串

  • 将参数传递给execute通常是一种方便的快捷方式,它仍然是安全的。

    关于php - 在不绑定(bind)的情况下使用PDO,我们在Stack Overflow上找到一个类似的问题:https://stackoverflow.com/questions/21110329/

    10-10 05:53
    查看更多