PHP PDO清洁用户输入

Question

我一直在研究清理用户输入的最有效方法。我的应用程序是一个简单的post请求，用于对用户进行身份验证。在网上我可以找到十几种不同的“最佳”方法。这些方法中有很多都使用不推荐的php函数，或者看起来过于复杂。为了连接到我的sql数据库，我使用PDO类。

在搜索自己的函数时，我无意中发现：

带有绑定参数的预准备语句不仅更可移植、更方便、不受SQL注入的影响，而且通常比内插查询执行得快得多，因为服务器端和客户端都可以缓存已编译的查询形式。

我已经使用prepare方法创建了我的语句。这是否意味着我可以安全地抵御SQL注入攻击？我还应该担心什么？

Answer 1

@雷已经回答了问题的第一部分。对于第二部分，由于您正在验证您的用户，您还应该担心如何存储他们的密码，因此使用一些单向加密散列，并使用salt。并检查使用原始salt从用户输入的密码再次计算哈希值是否与数据库条目匹配。如果可能，还可以使用https进行身份验证。

Answer 2

如果您通过准备好的语句与PDO绑定所有用户数据，您应该不会被注入。任何放入SQL语句（如排序顺序）而不绑定的变量都是攻击的开放向量。