Люди, как правило, становятся религиозными, выбирая API базы данных PDO вместо mysqli. Часто на вопросы, касающиеся mysqli, отвечают такие утверждения, как «Забудьте о mysqli, используйте PDO». Это безопасный путь». Итак, я продолжаю, вникая в эту концепцию PDO, готовя утверждения и связывая их и т. д.
Но что особенного? Почему люди прилагают усилия, чтобы использовать эту базу данных таким образом? Как это защищает ваше приложение от SQL-инъекций?
PDO не является защитой от SQL-инъекций. Вы по-прежнему можете писать крайне опасные внедряемые запросы сколько угодно в PDO, и PDO будет все равно.
Что делает PDO, так это предоставляет ИНСТРУМЕНТЫ, которые позволяют вам безопасно писать запросы.
Но не вините PDO, если она предоставит безопасный молоток, а затем вы продолжите использовать свой лоб, чтобы забить несколько гвоздей. PDO сделала свою работу и предоставила инструменты, ты тот, у кого в черепе дырки от гвоздей.
mysql_real_escape_string(), когда вы НЕ МОЖЕТЕ использовать заполнители.
- person Marc B; 12.05.2014
