PHP：PDOを使用すると本当に安全ですか？古い方法の衛生措置や脱出がなくても？

Question

私はPDOを使用する前にすべての変数をフィルタリングしています。その時、私は通常弦を逃げてその長さを調べます。値が整数または他の数値であれば、値が実際に必要な型と値であることを理解しようとします。

しかし、PDOを使用した後に、セキュリティのために私が唯一のものであり、PDOが設定:: PARAM_ *以下のようなオプションを結合として..

$stmt = $this->db->prepare("select * from $dbSessionTableName where acntid = ? and end > now()"); 
    $stmt->bindValue(1, $_SESSION['account_id'], PDO::PARAM_INT); 
    $stmt->execute(); 

が、これは本当に安全ですか？

Answer 1

質問には2つの回答があります。結合パラメータの

1. いえば、ははい、それはSQLインジェクションに対する完全に安全であると、他の検証を必要としません。また、バインディングオプションとしてPDO :: PARAM_ *を設定する必要はありません。次のようにあなたは、単にあなたのコードを作ることができますし、それは同様に確保されます：SQLインジェクションに関連するすべての古いスタイルの「サニタイズ」の実践が必要ではなく、むしろ有害ではないだけではなく、避けるべきであることを

   $stmt = $this->db->prepare("select * from table where acntid = ? and end > now()"); 
   $stmt->execute([$_SESSION['account_id']]); 
   

   ノート。

2. しかし、$dbSessionTableName変数については、まだ安全ではありません他の方法でも可能です。そして検証されなければならない。