2012年防止SQL注入

Question

我已经很好地阅读了这个问题mysqli or PDO - what are the pros and cons?。但我觉得有点过时了。准备好的语句仍然是防止注入的最佳解决方案吗？

我要创建一个新的php接口来访问我的mysql数据库，所以我想从一开始就把它做好。

另外，pdo不会让你的查询速度慢很多吗？

Answer 1

使用预准备语句/参数化查询。这是完全安全的，因为您不会将SQL与同一字符串中的数据混合在一起，您也不必再考虑转义。至少，如果你没有开始让你的列/表名动态化，用户可以修改它们。

您通过使用PDO获得的优势绝对值得最小的性能损失。