php - 在没有 PDO::PARAM 的情况下绑定(bind)参数是否安全？

Question

这是一个示例查询:

$sql = $db->prepare("INSERT INTO `accounts` 
    (`id`, `name`, `email`, `phoneNumber`, `country`, `city`, `addrLine1`, `company`, `zipCode`, `sha_pass_hash`, `ClientGroup`, `Newsletter`, `signedIN`) VALUES 
    (NULL, :name, :email, :phoneNumber, :country, :city, :addrLine1, :company, :zipCode, :sha_pass_hash, '1', '1', NOW())");
$sql->bindParam(':name',$name);
$sql->bindParam(':email',$email);
$sql->bindParam(':phoneNumber',$phoneNumber);
$sql->bindParam(':country',$country);
$sql->bindParam(':city',$city);
$sql->bindParam(':addrLine1',$addrLine1);
$sql->bindParam(':company',$company);
$sql->bindParam(':zipCode',$zipCode);
$sql->bindParam(':sha_pass_hash',$sha_pass_hash);
$sql->execute();

正如您在使用 bindParam 时看到的那样 PDO::PARAM 像 PDO::PARAM_STR 和 PDO::PARAM_INT 没有设置.

毕竟我的问题是:当未设置 PDO::PARAM 时，此查询是否易受 SQL 注入(inject)攻击？

Answer 1

这才是正确的做法。 PARAM 常量是为了方便起见，因此您可以根据需要将数据强制转换/转换为适当的类型。

有时这是相关的，您可能希望某些值作为整数以避免在将非数字数据插入数字列时出现错误，但如果您准备好捕获并报告这些错误，那么这里就不会有任何问题。这可能是比静默处理数据更好的解决方案。