php - 2012年防止SQL注入(inject)

Question

我很好地阅读了这个问题mysqli or PDO - what are the pros and cons? .但我认为它有点过时了。准备好的语句仍然是对抗注入(inject)的最佳解决方案吗？

我要创建一个新的 php 接口(interface)来访问我的 mysql 数据库，所以我想从一开始就把它做好。

另外，pdo 不会大大降低您的查询速度吗？

Answer 1

使用准备好的语句/参数化查询。这是完全安全的，因为您不会在同一个字符串中混合使用 SQL 和数据，并且您不必再考虑转义。至少如果您不开始以用户可以修改的方式使您的列/表名称动态化。

使用 PDO 获得的优势绝对值得我们将性能损失降到最低。