php - PDO:即使未绑定(bind)，prepare() 是否转义所有数据？

Question

某些数据类型，I.E.数字或表名不能添加为 PDO 的参数，因为它会在它们周围添加单引号。

当我手动添加它们(变量)时，说这样的话:

  $statement = $dbh->prepare("INSERT INTO $TABLE_NAME (id, foo, timestamp) VALUES (1234, ?, 4567890))");
  $statement->execute(Array($foo));

我的问题是:prepare() 是否转义或正确处理其中的所有数据？或者只是 由执行/参数绑定(bind)绑定(bind)的数据？我很少将变量直接放入 prepare() 语句中，但我真的希望在编写这些时知道安全性。

Answer 1

My question is: Does prepare() escape or properly handle ALL data within? Or just data that is binded by execute /parameter bind?

没有。只有绑定(bind)参数被转义。

始终为所有传入数据绑定(bind)参数。