我们应该始终绑定我们的SQL语句吗？

Question

我一直在研究PDO bindValue()。我知道用PDO准备我的SQL语句可以防止发生SQL注入。

代码示例：

$stmt = $dbh->prepare('SELECT * FROM articles WHERE id = :id AND title = :title');
$stmt->bindValue(':id', PDO::PARAM_INT);
$stmt->bindValue(':title', PDO::PARAM_STR);
$stmt->execute();

通过将ID绑定为数字，并且Title是字符串，我们可以限制当有人尝试在代码中进行SQL注入时所造成的损害。

我们是否应该始终将值与a绑定，PDO::PARAM_以便可以限制在SQL注入中可以从数据库中提取的内容？这样在执行PDO时会增加PDO的安全性bindValue()吗？

Answer 1

一个有两个问题。重要的是不要混淆它们

1. 我们是否应该始终使用 占位符 来表示查询中的变量数据？

2. 我们是否应该始终在 应用程序代码中 使用某些功能来遵循上述规则？
   另外，从对职位开头的评论中的澄清，可以看到第三个问题：
   

3. 我们是否应该始终使用第三个参数，还是默认情况下让PDO将所有参数绑定为字符串是可以的？

1.对于第一个问题，答案是绝对肯定的- 是。

在第二篇文章中，出于代码的合理性和DRYness的考虑，

2.尽可能避免手动装订。

有许多避免手动绑定的方法。他们之中有一些是：

• ORM是简单CRUD操作的出色解决方案，并且必须在现代应用程序中具有。它将完全向您隐藏SQL，在幕后进行绑定：

  $user = User::model()->findByPk($id);
  

• Query Builder也是可行的方法，在一些PHP运算符中伪装了SQL，但又将绑定隐藏在幕后：

  $user = $db->select('*')->from('users')->where('id = ?', $id)->fetch();
  

• 一些抽象库可能会通过 类型提示占位符 来处理传递的数据，从而再次隐藏实际的绑定：

  $user = $db->getRow("SELECT * FROM users WHERE id =?i", $id);
  

• 如果您在上个世纪仍在使用PHP，并且在整个代码中都使用了原始PDO-那么您可以在execute（）中传递变量，仍然可以节省很多输入：

  $stmt = $dbh->prepare('SELECT * FROM users WHERE id = ?');
  

  $stmt->execute([$id]);
  $user = $stmt->fetch();
  

关于第三个问题-只要您将数字绑定为字符串（但不是相反！）-

3. mysql没关系，几乎每个参数都以字符串形式发送

因为mysql总是会将您的数据转换为正确的类型。我所知道的唯一一种情况是LIMIT子句，在该子句中无法将数字格式化为字符串-
因此，当在仿真模式下设置PDO且必须在LIMIT子句中传递参数时，唯一相关的情况是。在所有其他情况下，您可以省略第三个参数，也可以显式调用to，bindValue()而不会出现任何问题。