Tôi có cần phải thoát khỏi đầu vào DB không?

Question

Tôi đọc mà với PDO bạn không cần phải thoát khỏi các biến nếu bạn sử dụng chuẩn bị và thông qua các biến trong thực hiện:

$st = $dbh->prepare("INSERT INTO mytable (name,email) VALUES (?,?)"); 
$st->execute(array($_POST['name'], $_POST['email'])); 

là trù này?

Hoặc tôi vẫn cần làm điều gì đó với $ _POST ở đó?

Answer 1

Trên các câu lệnh đã chuẩn bị, không cần phải thoát (và thoát khỏi những thứ sẽ dẫn đến thoát kép, khiến dữ liệu thoát được ghi vào DB). Tuy nhiên, các câu lệnh chuẩn bị PDO KHÔNG THỂ xử lý tất cả các biến thể truy vấn và đôi khi bạn sẽ phải chèn dữ liệu "nước ngoài" trực tiếp vào một chuỗi truy vấn, điều đó có nghĩa là bạn sẽ chịu trách nhiệm thoát nó một cách chính xác. Đặc biệt, các truy vấn động nơi thay đổi tên bảng và/hoặc trường không thể được chỉ định bằng cách sử dụng câu lệnh đã chuẩn bị. ví dụ.

SELECT ? FROM ? WHERE ?=? 

không thể thực hiện được. Chỉ các giá trị có thể được chỉ định với trình giữ chỗ.

Answer 2

Câu trả lời ngắn gọn: Không, bạn không cần phải thoát khỏi bất kỳ điều gì. Các truy vấn được tham số hóa là hoàn toàn tuyệt vời! :)

Câu trả lời dài: Không, bạn không cần phải thoát khỏi bất cứ điều gì khi nó đi vào cơ sở dữ liệu. Tuy nhiên, bạn vẫn nên sử dụng htmlspecialchars khi hiển thị đầu ra cơ sở dữ liệu từ truy vấn để ngăn chặn các cuộc tấn công XSS, nếu không bạn sẽ kết thúc với một người nào đó nhồi nhét như thế này trong một trường tùy ý:

<script type="text/javascript">alert('sup, I'm in ur site!');</script>.

Answer 3

Điều này đúng; mã đúng (mặc dù bạn có thể muốn xử lý trường hợp $_POST['name'] không được đặt).

Chức năng tuyên bố đã chuẩn bị của PDO bàn giao các giá trị ở định dạng không cần thoát rõ ràng.