Надо ли везде использовать prepare?

Question

[Посторонним В.]

Имеет ли смысл во всех методах - публичных, защищенных, с получением данных от пользователя или только от других методов/классов/процедур использовать подготовленные запросы к БД? Стоит ли оно усложнения кода? Сильно ли снизит производительность?

P. S. Использую PDO.

Answer 1

[Назар Мокринский]

Стоит ли оно усложнения кода?

Зависит от того, на сколько конкретно у вас он усложнился.

Сильно ли снизит производительность?

Запустите в цикле 10000 раз вставку чего либо и сравните.

У меня своя обертка для этого дела в полном соответствии с форматом функции sprintf(), особого переусложнения кода не вижу, производительность ОК, вот как это работает, используется MySQLi.
Пример:

$db->q(
    "SELECT `id`
    FROM `[prefix]users`
    WHERE `login` = '%s'
    LIMIT %d",
    $login,
    1
);

Думаю, из примера понятно что произошло.

Answer 2

[sivabur]

Имеет, не усложнить пиши те обертку и ее пользуйтесь. Данные все надо проверять перед запросом.
Для лучшей производительности если у вас mysql база используйте mysqli.
Для защиты от sql-injection habrahabr.ru/post/148701 все разжевано.