Heim  >  Artikel  >  Backend-Entwicklung  >  pdo防注入一问,到底要引号还是不要引号的好?

pdo防注入一问,到底要引号还是不要引号的好?

WBOY
WBOYOriginal
2016-06-23 13:50:351104Durchsuche

PDO防注入
php版本是 5.4.28
是用MYSQL的

所有sql语句都已经用了预处理

在安全上是否足够?

听说有些人保存是喜欢用 PDO::quote 所字段都加上单引号

请问是否某些旧版PHP才需要?

是否没有做预处理的才需要这样做?

以下是常用的一些代码模式

在防SQL注上,是否已足够?

请教一下有什么地方需要改善的?

		$add_title="INSERT INTO `topic_title` (`id`,`title_name`,`typeid`) VALUES (NULL,:title_name,:typeid)";		$stmt = $pdo->prepare($add_title);		$stmt->bindParam(':title_name',$title_name);		$stmt->bindParam(':typeid',$typeid);		$stmt->execute();


回复讨论(解决方案)

是的,就目前的知识范围而言:足够了

足够了,prepare 已经做了放注入的处理。

安全上已?足?了。

Stellungnahme:
Der Inhalt dieses Artikels wird freiwillig von Internetnutzern beigesteuert und das Urheberrecht liegt beim ursprünglichen Autor. Diese Website übernimmt keine entsprechende rechtliche Verantwortung. Wenn Sie Inhalte finden, bei denen der Verdacht eines Plagiats oder einer Rechtsverletzung besteht, wenden Sie sich bitte an admin@php.cn