php - 在不绑定(bind)的情况下使用 PDO

Question

$stmt = $conn->prepare('SELECT * FROM users WHERE user_id = :user_id');

$stmt->execute(array(':user_id' => $_GET['user_id']));

$result = $stmt->fetchAll(PDO::FETCH_OBJ);

我正在像那样使用 PDO，我需要清理 GET 参数吗？

我知道如果我执行 $stmt->bindParam(':user_id', $_GET['user_id'], PDO::PARAM_INT); 这不是问题。但是我的方式安全吗？

Answer 1

是的，这是安全的。 execute 和 bind* 之间的唯一区别是:

• execute 一次接受多个参数，而您必须单独bind*每个参数
• bind* 允许您指定参数类型，而 execute 将所有内容绑定(bind)为字符串

将参数传递给execute主要是一种方便的速记，它仍然是安全的。