mysql - PHP PDO 清理用户输入

Question

我一直在研究清理用户输入的最有效方法。我的应用程序是一个简单的发布请求，用于对用户进行身份验证。在网上看，我可以找到十几种不同的“最佳”方法。很多这些方法使用不推荐使用的 php 函数或者看起来过于复杂。为了连接到我的 sql 数据库，我使用了 PDO 类。

在搜索我自己的函数时，我偶然发现了这个:

Prepared statements with bound parameters are not only more portable, more convenient, immune to SQL injection, but are often much faster to execute than interpolated queries, as both the server and client side can cache a compiled form of the query.

我已经使用 prepare 方法来创建我的语句。这是否意味着我可以安全地抵御 SQL 注入(inject)攻击？我还应该担心什么？

Answer 1

如果您使用 PDO 通过准备好的语句绑定(bind)所有用户数据，您应该不会被注入(inject)。您放入 SQL 语句中但未绑定(bind)的任何变量(如排序顺序)都是攻击的开放向量。