PDO execute bindowanie Opcje

[smiady]

Witam.

Czy jak korzysta się z execute() nie trzeba już sprawdzać danych przed sql injection ?

[Turson]

Jak bindujesz to nie

[smiady]

Czyli muszę robić bindValue przed każdym execute ?

[Turson]

Nie przed każdym. Jeżeli w zapytaniu występują wrażliwe dane - np. pochodzące od użytkownika (z formularza). Możesz bindParam(), bindValue() albo w execute tablicą bindować. Wszystkie przykłady masz w manualu.

[smiady]

O co chodzi bindowanie tablicą w execute ?

[Turson]

http://php.net/manual/en/pdostatement.execute.php
Example #2 i #3

[KsaR]

Stackoverflow,
SQL Injection (może) być możliwe z kodowaniem "Latin-1",

if you:

Use Modern Versions of MySQL (late 5.1, all 5.5, 5.6, etc) AND mysql_set_charset() / $mysqli->set_charset() / PDO's DSN charset parameter (in PHP ≥ 5.3.6)
OR

Don't use a vulnerable character set for connection encoding (you only use utf8 / latin1 / ascii / etc)
You're 100% safe.

Otherwise, you're vulnerable even though you're using mysql_real_escape_string()...