PDO zabezpieczenia ? Opcje

[smiady]

Witam.

Mam pytanie odnośnie PDO i wstrzykiwania kodu.
Otóż mam taki fragment:

[PHP] pobierz, plaintext 
					$db= new PDO('mysql:host=localhost;dbname=test', 'root', '');
 
					$sql= "SELECT id FROM uzytkownicy WHERE login= :login AND haslo= :haslo";
					$login= $db->prepare($sql);
 
					$login->execute(array(':login' => $_REQUEST['login'],
								         ':haslo' => $_REQUEST['haslo']));
					if($login->fetch()) echo 'zostałeś zalogowany !';
					else echo 'niestety nie zostałeś zalogowany !';
[PHP] pobierz, plaintext 

i gdy w loginie wpisuje np test' -- (po myślnikach jeszcze spacja) to nie da się zalogować, a w przypadku mysqli bez użycia real_escape_string już da.
Myślałem, że bindValue ma zabezpieczenia, a czy execute je też tworzy ? czy w przypadku PDO kod się inaczej wstrzykuje - jeśli tak to jak ?

[Michael2318]

PDO ogólnie ma taką ideę, że nie musisz w ogóle myśleć nad jakimikolwiek zabezpieczeniami bo PDO samo sobie z filtracją poradzi, Ty jedynie co to możesz ew. zdefiniować podczas bindowania czy chcesz otrzymać wartość liczbową (INT) czy tekst (STR), tyle.

Ja na Twoim miejscu bindowałbym te wartości (IMG:style_emoticons/default/smile.gif)

Ten post edytował Michael2318 25.06.2014, 22:42:56