php - 2012年のSQLインジェクションの防止

Question

私はこの質問mysqliまたはPDOをよく読んだことがあります-長所と短所は何ですか？。しかし、私はそれが少し時代遅れだと思います。プリペアドステートメントは、注射に対する最善の解決策ですか？

mysqlデータベースにアクセスするための新しいphpインターフェースを作成するので、最初から正しく取得したいと思います。

また、pdoはクエリの速度を大幅に低下させませんか？

Answer 1

プリペアドステートメント/パラメータ化されたクエリを使用します。SQLと同じ文字列内のデータを混在させず、エスケープについて考える必要がないため、これは完全に安全です。少なくとも、ユーザーが変更できる方法で列/テーブル名を動的にし始めない場合。

PDOを使用することで得られる利点は、パフォーマンスの低下を最小限に抑えるだけの価値があります。