7
¿Son suficientes las declaraciones preparadas por PDO para evitar la inyección de SQL?
Digamos que tengo un código como este: $dbh = new PDO("blahblah"); $stmt = $dbh->prepare('SELECT * FROM users where username = :username'); $stmt->execute( array(':username' => $_REQUEST['username']) ); La documentación de PDO dice: No es necesario citar los parámetros para las declaraciones preparadas; el conductor lo maneja por usted. ¿Es eso realmente …
660
php
security
pdo
sql-injection