pdo防注入一问，到底要引号还是不要引号的好?
本帖最后由 sky94132003 于 2014-08-27 06:07:37 编辑 PDO防注入
php版本是 5.4.28
是用MYSQL的
所有sql语句都已经用了预处理
在安全上是否足够?
听说有些人保存是喜欢用 PDO::quote 所字段都加上单引号
请问是否某些旧版PHP才需要?
是否没有做预处理的才需要这样做?
以下是常用的一些代码模式
在防SQL注上，是否已足够?
请教一下有什么地方需要改善的?
<br /> $add_title="INSERT INTO `topic_title` (`id`,`title_name`,`typeid`) VALUES (NULL,:title_name,:typeid)";<br /> $stmt = $pdo->prepare($add_title);<br /> $stmt->bindParam(':title_name',$title_name);<br /> $stmt->bindParam(':typeid',$typeid);<br /> $stmt->execute();Salin selepas log masuk
是的，就目前的知识范围而言：足够了
------解决方案--------------------足够了，prepare 已经做了放注入的处理。
------解决方案--------------------安全上已經足夠了。
![[Web front-end] Permulaan pantas Node.js](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
