pg_prepare()prepared语句（不是PDO）是否防止SQL注入？

Question

我正在处理的目标系统不支持PDO ist，尽管我在Postgres-DB8.2+上使用PHP 5.1.x寻求防止SQL注入的解决方案。目前没有机会切换到PDO。

我目前的解决方案是pg_prepare-prepared语句：

// Trying to prevent SQL-Injection
$query = 'SELECT * FROM user WHERE login=$1 and password=md5($2)';
$result = pg_prepare($dbconn, "", $query);
$result = pg_execute($dbconn, "", array($_POST["user"], $_POST["password"]));
if (pg_num_rows($result) < 1) {
  die ("failure");
}

该函数从查询字符串创建一个名为stmtname的准备好的语句，该语句必须包含单个SQL命令。stmtname可以是“”来创建未命名语句，在这种情况下，任何先前存在的未命名语句都会被自动替换；[...]

它讲述了“类型化”

也可以通过执行SQL PREPARE语句来创建与pg_prepare()一起使用的预备语句。（但是pg_prepare()更加灵活，因为它不需要预先指定参数类型。）此外，尽管没有PHP函数用于删除准备好的语句，但SQL DEALLOCATE语句可以用于此目的。

null

所有的答案都是有益的：）

// Trying to prevent SQL-Injection (**updated**)
$sql_query = 'SELECT * FROM user WHERE login=$1 and password=md5($2);';
$result = pg_query_params($dbconn_login, $sql_query, array($_POST["user"], $_POST["password"]));
if (pg_num_rows($result) < 1) {
  die('failure');
}

Answer 1

准备好的语句不会被SQL注入，因为在它准备好之后，没有人可以更改queryplan。但是，如果您的语句已经被破坏，您仍然遭受SQL注入：

<?php 
// how NOT to construct your SQL....
$query = 'SELECT * FROM user WHERE login=$1 and password=md5($2) LIMIT '. $_POST['limit']; -- injection!
$result = pg_prepare($dbconn, "", $query);
$result = pg_execute($dbconn, "", array($_POST["user"], $_POST["password"]));
if (pg_num_rows($result) < 1) {
  die ("failure");
}
?>