我是否需要对从数据库获取的数据使用准备好的语句？

Question

我有一个这样的查询：

$result = $db
-> prepare("SELECT value FROM mytable WHERE id = ?")
-> execute(array($id))
-> fetch(PDO::FETCH_ASSOC);

我想使用$result['value'] 作为另一个查询的参数（UPDATE 语句）。我应该为UPDATE 语句使用准备好的语句吗？还是因为我是从数据库中获取的，所以不需要将其作为准备好的语句传递？

Answer 1

是的。使用带有绑定占位符的准备好的语句。

仅仅因为从数据库返回值并不意味着该值可以安全地包含在 SQL 文本中。

您可能知道mytable 中的value 列是INTEGER 类型，因此它是安全的。但在更一般的情况下，对于不知道mytable 的定义以及value 可能包含什么的读者。您的代码的读者会假设 value 不是“安全的”。据我们所知，我们可能会得到这样的结果：

Robert'); DROP TABLE students; --

每当我们看到连接到 SQL 文本中的变量时，我们将假定变量可能包含值以外的内容，并且它可能包含实际的 SQL。 （或者，如果我们确实看到一个变量连接到 SQL 语句的文本中，我们会期望它会在连接时被正确转义。）

因此，首选模式是使用带有绑定占位符的准备好的语句。这使得读者可以清楚地知道value 确实是一个值，并且不打算将其解释为 SQL 文本。