php - PHP 的 DateTime 类是否从 SQL 注入(inject)中转义日期

Question

通常，我使用 PDO 的准备语句，类型转换为 (int)，或 PDO::quote() 来防止 SQL 注入(inject)。对于这个应用程序，我需要在将它添加到查询之前使用 PHP 修改日期。我是否需要采取额外的步骤来防止 SQL 注入(inject)，或者我安全吗？谢谢

$date = new DateTime($_GET['suspect_user_provided_date']);
$date->add(new DateInterval('P1D'));
$sql='SELECT * FROM table WHERE date<"'.$date->format('Y-m-d').'"';

Answer 1

DateTime 对象是否安全并不重要。您应该转义传递给查询的数据，而不是依赖所提供库的安全性。如果更改实现，则无需关心新实现是否安全。你应该总是逃避。否则，您将尝试回答并记住每个函数的 SQL 安全吗？对于 HTML？对于 CSV？用于 http/邮件 header ？因为……不要!发送查询的代码行应该对 DateTime 实现以及它是否安全一无所知