我们应该始终绑定我们SQL语句吗？

嘎嘎依噶子

我一直在研究PDO bindValue()。我知道用PDO准备我的SQL句子可以防止SQL注入。
代码示例：
$stmt = $dbh->prepare('SELECT * FROM articles WHERE id = :id AND title = :title');$stmt->bindValue(':id',PDO:

ARAM_INT);$stmt->bindValue(':title',PDO:

ARAM_STR);$stmt->execute();通过将ID并且绑定成数字Title当有人试图在代码中进行字符串时，我们可以限制它SQL注入时造成的损坏。
我们是否应该始终将值与值与值a绑定，PDO:

ARAM_可以限制SQL可以从数据库中从注入中提取的内容？所以在执行中PDO时会增加PDO的安全性bindValue()吗？

解决方案:
                                                            一个有两个问题。重要的是不要混淆它们
[ol]是否应该一直使用  占位符 表示查询中的变量数据？
是否应该一直在在应用程序代码中使用某些功能遵循上述规则？
另外，从对职位开头的评论中可以看出第三个问题：我们是应该一直使用第三个参数，还是默认让步？PDO可以将所有参数绑定到字符串中？
[/ol]1.对于第一个问题，答案是绝对肯定的- 是。在第二篇文章中，出于代码的合理性和DRYness的考虑，
2.尽量避免手动装订。有许多避免手动绑定的方法。他们之中有一些是：
ORM是简单CRUD优秀的操作解决方案必须在现代应用作解决方案。它将完全隐藏给你SQL，绑定幕后：
$user = User::model()->findByPk($id);Query Builder在某些方面，这也是一种可行的方法PHP伪装在操作符中SQL，但将绑定隐藏在幕后：
$user = $db->select('*')->from('users')->where('id = ?',$id)->fetch();有些抽象库可能会通过类型提示占位符处理传输数据，再次隐藏实际绑定：
$user = $db->getRow("SELECT * FROM users WHERE id =?i",$id);如果你在上个世纪仍在使用它PHP，原始代码用于整个代码PDO-所以你可以在那里execute()传输变量仍然可以节省大量输入:
$stmt = $dbh->prepare('SELECT * FROM users WHERE id = ?');$stmt->execute([$id]);
$user = $stmt->fetch();
关于第三个问题-只要您将数字绑定为字符串（但不是相反！）-
3. mysql没关系，几乎每个参数都以字符串的形式发送因为mysql你的数据总是被转换成正确的类型。我唯一知道的是LIMIT在这不能将数字格式化为字符串-
因此，当设置在模拟模式下时PDO且必须在LIMIT当参数在句子中传输时，唯一相关的情况是。在所有其他情况下，您可以省略第三个参数或显式调用to，bindValue()没有问题。

我们应该始终绑定我们SQL语句吗？

嘎嘎依噶子 LV1