Prepare statement для поиска?

Question

[MdaUZH]

Всем привет.

Делаю поиск, и подумал, правильно ли я его делаю, в плане защиты от sql-иньекций.

Делаю такой запрос:

SELECT r.*, u.nickname AS 'u_name', t.taste, t.recept_id 
FROM recept AS r 
LEFT JOIN users AS u ON u.id = r.user_id 
LEFT JOIN tastes AS t ON t.recept_id = r.id 
WHERE r.name LIKE '%ppl%' AND t.taste LIKE '%дк%'

"ppl" и "дк" -> пришли от пользователя по _GET .
Причем тут и нет бинда параметров или же какой-то реальной защиты..

Сам вопрос вот в чем, нужна ли тут собственно защита?
Что можно будет сделать если оставлю такой запрос?

Спасибо

Answer 1

[dimabdc]

Пользовательскому вводу никогда нельзя доверять!
Почитайте https://habrahabr.ru/post/148151/

Answer 2

[res2001]

Однозначно Prepare statements для поиска!