DBAL QueryBuilder：避免 SQL 注入的更安全的方法是什么？

Question

根据 DBAL 文档，只有方法 setFirstResult 和 setMaxResults 旨在防止 SQL 注入。但在 QueryBuilder 部分，他们提到要安全地使用 QueryBuilder，我们必须使用 setParameter 方法传递用户输入。 所以我看到了两种方法，但我不知道它们是否有真正的区别： 方式一：

$qb->select('USR_id', 'USR_email')
->from('T_user_USR')
->where('USR_email = ? ')
->setParameter(0, $email);
$stmtQb = $qb->execute();
$results = $stmtQb->fetchAll();

方式 2：

$qb->select('USR_id', 'USR_email')
->from('T_user_USR')
->where('USR_email = ? ');
$stmtQb = $dbal->prepare($qb->getSQL());
$stmtQb->bindValue(1, $email);
$stmtQb->execute();
$results = $stmtQb->fetchAll();

最好的方法是什么？ 提前致谢

Answer 1

这两个例子最终做了同样的事情。也就是说，当您使用setParameter() 时，参数值将绑定到使用bindValue() 的语句。

请参阅https://github.com/doctrine/dbal/blob/master/lib/Doctrine/DBAL/Connection.php#L1326-L1356，了解在 DBAL 中执行此操作的内部函数。

使用第二种形式的唯一原因是如果您想使用bindParam() 而不是bindValue()。如果您想通过引用将参数绑定到 PHP 变量，您可以这样做，例如，您可以在开始循环之前准备一次查询，然后在循环中执行多次。

两种方法对 SQL 注入提供相同程度的保护。