[PHP][MySQL] Poprawność bindowania PDO Opcje

[Darekxp]

Witam!

Czy taki sposób bindowania jest poprawny/bezpieczny?

[PHP] pobierz, plaintext 
<?php
$thisPage   = 'offer';
 
$categoryId = filter(isset($_GET['categoryId']));
$itemId 	= filter(isset($_GET['itemId']));
 
	## DISPLAY PAGE ##
 
		if($categoryId && $itemId)
		{
 
			## DATA ##
 
 
				$sql = $pdo->prepare('SELECT id, title_'.$_lang.', text_'.$_lang.', category, promotions, photo FROM '.$thisPage.' WHERE id=:id AND category=:category AND status="1" ');
				$sql->bindParam(':id', $itemId, PDO::PARAM_INT);
				$sql->bindParam(':category', $categoryId, PDO::PARAM_INT);
				$sql->execute();
				$data = $sql->fetchAll();
				$sql->closeCursor();
 
				$smarty->assign('data',$data);
 
			## DISPLAY TEMPLATE ##
 
				$smarty->display('templates/public/'.$thisPage.'_item.tpl');		
		}
else
{
//dalszy kod
}
[PHP] pobierz, plaintext 

[zegarek84]

tak, ale żeby kod był czytelniejszy to możesz określić sam $_lang na if'ach i potem go podpiąć, jeśli tych języków miałbyś masę, to mógłbyś sprawdzić, czy język z tego get'a znajduje się w tablicy, jeśli nie to jakiś defaultowy (w ten sposób także się ochronisz przed niechcianymi wartościami)

[PHP] pobierz, plaintext 
$_lang = 'pl';
$temp = isset($_GET['lang'])?strtolower($_GET['lang']):'';
 
if($temp === 'en')
    $_lang = $temp;
$sql = $pdo->prepare('SELECT id, title_'.$_lang.', text_'.$_lang.', category, promotions, photo FROM '.$thisPage.' WHERE id=:id AND category=:category AND status="1" ');
[PHP] pobierz, plaintext 

po prostu popracuj jeszcze trochę nad czytelnością oraz byś łatwo mógł modyfikować kod w jak najmniejszej liczbie miejsc...

Ten post edytował zegarek84 15.11.2012, 16:05:04