php - sql语句和pdo

Question

有一个 pdo 包装器类使用以下方法关闭仿真或准备好的语句:

setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

我看到一些 sql 语句是使用标准的非参数化方法编写的，如下所示:

select * from table where name = '".$name."'. 

即使使用了 pdo 包装器，这些语句是否也能防止 sql 注入(inject)？

Answer 1

你防止注入(inject)的想法是完全错误的。

它不是 PDO 只是因为它的存在(它可能会受到某些包装器的干扰)保护您的查询，但准备好的语句。

只要您使用的是准备好的语句，您的查询就是安全的，无论它是 PDO 还是包装器，甚至是糟糕的旧 mysql ext。

但是如果您直接将数据放入查询中，就像在您的示例中一样，根本没有保护