PHPのデータの挿入が確実に

Question

私はPHPを勉強し、彼らはポストからフォームデータを取得し、データベースに挿入チュートリアルでphpbridge.org

でデータクラスのチュートリアルを作成OOPを追っています。

ステップ1：フォームTopicData.php

に含ま

<h2>New Topic</h2> 
<form action="add.php" method="POST"> 
    <label> 
     Title: <input type="text" name="title"> 
    </label> 
    <br> 
    <label> 
     Description: 
     <br> 
     <textarea name="description" cols="50" rows="20"></textarea> 
    </label> 
    <br> 
    <input type="submit" value="Add Topic"> 
</form> 

ステップ2 PHPファイル

<?php 
require 'TopicData.php'; 

if (isset($_POST) && sizeof($_POST) > 0) { 
    $data = new TopicData(); 
    $data->add($_POST); 
} 
?> 

ステップ3

機能ここ

コードであります

public function add($data) 
{ 
    $query = $this->connection->prepare(
     "INSERT INTO topics (
      title, 
      description 
     ) VALUES (
      :title, 
      :description 
     )" 
    ); 

    $data = [ 
     ':title' => $data['title'], 
     ':description' => $data['description'] 
    ]; 

    $query->execute($data); 
} 

私の質問はセキュリティに関するものです。このデータをデータベースに挿入する前に、filter_input（）関数を使用してフォームの各フィールドを実行するのはベストプラクティスではありませんか？また、これらもfilter_var（）で実行する必要がありますか？

これが必要な場合は、フィルタコードはどのようになりますか？

ありがとうございます！

Answer 1

TopicData.phpファイルは、準備されたSQLクエリを使用しています。準備されたクエリを使用する利点は、SQLクエリが外部入力に基づいていない場合、SQLインジェクションの可能性を排除することです。準備されたクエリを使用する場合、クエリのテンプレートはデータとは別に送信されます。これには、ここで説明する多くの利点があります。https://www.w3schools.com/php/php_mysql_prepared_statements.asp

フォームデータのサニタイズの必要性がなくなります。ただし、最大文字列長、最大値、最小値などの検証が必要な場合は、filter_var関数を使用してフォームデータをフィルタリングする必要があります。