[PHP][MySQL] Poprawność bindowania PDO Opcje

[Darekxp]

Witam!

Czy taki sposób bindowania jest poprawny/bezpieczny?

[PHP] pobierz, plaintext 
<?php
$thisPage   = 'offer';
 
$categoryId = filter(isset($_GET['categoryId']));
$itemId 	= filter(isset($_GET['itemId']));
 
	## DISPLAY PAGE ##
 
		if($categoryId && $itemId)
		{
 
			## DATA ##
 
 
				$sql = $pdo->prepare('SELECT id, title_'.$_lang.', text_'.$_lang.', category, promotions, photo FROM '.$thisPage.' WHERE id=:id AND category=:category AND status="1" ');
				$sql->bindParam(':id', $itemId, PDO::PARAM_INT);
				$sql->bindParam(':category', $categoryId, PDO::PARAM_INT);
				$sql->execute();
				$data = $sql->fetchAll();
				$sql->closeCursor();
 
				$smarty->assign('data',$data);
 
			## DISPLAY TEMPLATE ##
 
				$smarty->display('templates/public/'.$thisPage.'_item.tpl');		
		}
else
{
//dalszy kod
}
[PHP] pobierz, plaintext 

[nospor]

Bindujesz dokładnie tak jak każą w manualu - wszystko ok. Czemu uważasz że może to byc niebezpieczne?

[viking]

Chyba że $_lang to jakiś $_REQUEST['lang']

[nospor]

No ale to już nie jest BINDOWANIE a autor wyraźnie się pyta o bindowanie

[Darekxp]

Od ok tygodnia uczę się OOP i jak mam jakieś wątpliwości to wole zapytać na forum, niż robić błędy.
Zmienna $_lang = filter($_GET['lang']);

[zegarek84]

zapytanie select nie powinno być zależne od parametru get|post - na jego podstawie możesz ustalić/posklejać zapytanie ale nie na żywca, tak nie może być, reszta bindowania poprawnie i możesz tam wsadzać bindując nawet parametry z get i post...

[Darekxp]

Czyli lepiej zrobić to np tak: ?

[PHP] pobierz, plaintext 
<?php
 
if($_lang == 'en')
{
  $sql = $pdo->prepare('SELECT id, title_en, text_en, category, promotions, photo FROM '.$thisPage.' WHERE id=:id AND category=:category AND status="1" ');
}
else
{
  $sql = $pdo->prepare('SELECT id, title_pl, text_pl, category, promotions, photo FROM '.$thisPage.' WHERE id=:id AND category=:category AND status="1" ');
}
 
 
[PHP] pobierz, plaintext 

[zegarek84]

tak, ale żeby kod był czytelniejszy to możesz określić sam $_lang na if'ach i potem go podpiąć, jeśli tych języków miałbyś masę, to mógłbyś sprawdzić, czy język z tego get'a znajduje się w tablicy, jeśli nie to jakiś defaultowy (w ten sposób także się ochronisz przed niechcianymi wartościami)

[PHP] pobierz, plaintext 
$_lang = 'pl';
$temp = isset($_GET['lang'])?strtolower($_GET['lang']):'';
 
if($temp === 'en')
    $_lang = $temp;
$sql = $pdo->prepare('SELECT id, title_'.$_lang.', text_'.$_lang.', category, promotions, photo FROM '.$thisPage.' WHERE id=:id AND category=:category AND status="1" ');
[PHP] pobierz, plaintext 

po prostu popracuj jeszcze trochę nad czytelnością oraz byś łatwo mógł modyfikować kod w jak najmniejszej liczbie miejsc...

Ten post edytował zegarek84 15.11.2012, 16:05:04

[Darekxp]

Sprawdzanie języka mam zrobiony.
No ale chyba trochę odbiegamy od tematu, co chyba nie do końca jest wskazane ;p
Dzięki za pomoc:)

[PHP] pobierz, plaintext 
$_lang = filter($_GET['lang']);
 
		$_siteLang = array('pl','en');
 
		if(!in_array($_lang,$_siteLang))
		{
			header('Location: /pl/');
		}
[PHP] pobierz, plaintext