Вернуться к вопросу

В мире уже давно в ходу mysqli и PDO. Многие очень активно их пропагандируют: есть подготовленные переменные, всё становится безопасно и пр.

Вот, допустим, есть абстрактный код:

$dbh = new PDO("test");    
$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute(array(':username' => $_REQUEST['username']));

или

$dbh = new PDO("test");  
$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < ? AND color = ?');
$sth->execute(array($_POST['number'], $_POST['color']));

И всё...

Этого достаточно и ничего больше не надо делать? Никакие mysqli_real_escape_string (для mysqli) и прочие шаманства? Или все же нет?

Собственно, хотелось бы знать, если код выше не защищает, то как делать правильно с запросами с PDO и mysqli (и почему тогда говорят про безопасность)? Какие есть наглядные примеры безопасного исполнения запроса, используя PDO и mysqli? А Если и правда защищает, то... я в шоке))

P.S. Возможно данный вопрос уже рассматривался, не знаю, заранее извините.

В мире уже давно используются mysqli и PDO. Многие очень активно их пропагандируют: есть подготовленные переменные, всё становится безопасно и прочее.

Вот, допустим, есть абстрактный код:

$dbh = new PDO("test");    
$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute(array(':username' => $_REQUEST['username']));

или

$dbh = new PDO("test");  
$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < ? AND color = ?');
$sth->execute(array($_POST['number'], $_POST['color']));

И всё...

Этого достаточно и ничего больше не надо делать? Никакие конструкции вида mysqli_real_escape_string (для mysqli) и прочие шаманства? Или все же нет?

Собственно, хотелось бы знать, если код выше не защищает, то как делать правильно с запросами с PDO и mysqli (и почему тогда говорят про безопасность)? Какие есть наглядные примеры безопасного исполнения запроса, используя PDO и mysqli? А Если и правда защищает, то... я в шоке))

P.S. Возможно данный вопрос уже рассматривался, не знаю, заранее извините.

В мире в ходу уже давно есть mysqli и PDO. Многие очень активно их пропагандируют, что есть подготовленные переменные, всё становится безопасно.

Вот допустим есть абстрактный код:

$dbh = new PDO("test");    
$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute(array(':username' => $_REQUEST['username']));

или

$dbh = new PDO("test");  
$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < ? AND color = ?');
$sth->execute(array($_POST['number'], $_POST['color']));

И всё.

Этого достаточно и ничего больше не надо делать? Никакие mysqli_real_escape_string (для mysqli) и прочие шаманства? Или все же нет?

Собственно, хотелось бы знать, если код выше не защищает, то как делать правильно с запросами с PDO и mysqli (и почему тогда говорят про безопасность)? Какие есть наглядные примеры безопасного исполнения запроса, используя PDO и mysqli? А Если и правда защищает, то... я в шоке))

P.S. Возможно данный вопрос уже рассматривался, не знаю, заранее извините.

В мире уже давно в ходу mysqli и PDO. Многие очень активно их пропагандируют: есть подготовленные переменные, всё становится безопасно и пр.

Вот, допустим, есть абстрактный код:

$dbh = new PDO("test");    
$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute(array(':username' => $_REQUEST['username']));

или

$dbh = new PDO("test");  
$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < ? AND color = ?');
$sth->execute(array($_POST['number'], $_POST['color']));

И всё...

Этого достаточно и ничего больше не надо делать? Никакие mysqli_real_escape_string (для mysqli) и прочие шаманства? Или все же нет?

Собственно, хотелось бы знать, если код выше не защищает, то как делать правильно с запросами с PDO и mysqli (и почему тогда говорят про безопасность)? Какие есть наглядные примеры безопасного исполнения запроса, используя PDO и mysqli? А Если и правда защищает, то... я в шоке))

P.S. Возможно данный вопрос уже рассматривался, не знаю, заранее извините.

В мире в ходу уже давно mysqli и PDO. Многие очень активно их пропагандируют, что есть подготовленные переменные, всё становится безопасно.

Вот допустим есть абстрактный код:

$dbh = new PDO("test");    
$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute(array(':username' => $_REQUEST['username']));

или

$dbh = new PDO("test");  
$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < ? AND color = ?');
$sth->execute(array($_POST['number'], $_POST['color']));

И всё. Этого достаточно и ничего больше не надо делать? Никакие mysqli_real_escape_string (для mysqli) и прочие шаманства? Или нет?

Собственно хотелось бы знать, если код выше не защищает, то как делать правильно с запросами с PDO и mysqli (и почему тогда говорят про безопасность)? Какие есть наглядные примеры безопасного исполнения запроса, используя PDO и mysqli? А Если и правда защищает, то... я в шоке))

P.S. Возможно данный вопрос уже рассматривался, не знаю, заранее извините.

В мире в ходу уже давно есть mysqli и PDO. Многие очень активно их пропагандируют, что есть подготовленные переменные, всё становится безопасно.

Вот допустим есть абстрактный код:

$dbh = new PDO("test");    
$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute(array(':username' => $_REQUEST['username']));

или

$dbh = new PDO("test");  
$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < ? AND color = ?');
$sth->execute(array($_POST['number'], $_POST['color']));

И всё. 

Этого достаточно и ничего больше не надо делать? Никакие mysqli_real_escape_string (для mysqli) и прочие шаманства? Или все же нет?

Собственно, хотелось бы знать, если код выше не защищает, то как делать правильно с запросами с PDO и mysqli (и почему тогда говорят про безопасность)? Какие есть наглядные примеры безопасного исполнения запроса, используя PDO и mysqli? А Если и правда защищает, то... я в шоке))

P.S. Возможно данный вопрос уже рассматривался, не знаю, заранее извините.