Подготовленные запросы и PDO?

Question

[Оптимус Пьян]

Чё-то запутался маленько, помогите распутаться.
И в PDO и mysqli есть обычные запросы и есть подготовленные. Пример на PDO подготовленный:

$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$name = 'one'; $value = 1;
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);
$stmt->execute();

И неподготовленный:

$count = $dbh->exec("DELETE FROM fruit WHERE colour = 'red'");

Подготовленный будет дороже чем неподготовленный если у нас 1 запрос и наоборот если серия одинаковых запросов.
А как быть с безопасностью неподготовленного запроса? Ведь в нём нет BindParam значит нет экранирования? Или в этом случае надо обязательно $conn->quote($string) ??

Answer 1

[trevoga_su]

habrahabr.ru/post/148701
www.phpinfo.su/articles/additionally/klass_dlja_be...
phpfaq.ru/mysql/slashes

Answer 2

[ТёмнаяМатерия]

Валерий Селицккий вы не правы. Читаем мануал:

Если вы используете эту функцию для построения SQL запросов, настоятельно рекомендуется пользоваться методом PDO::prepare() для подготовки запроса с псевдопеременными вместо использования PDO::quote()

Comments

[Валерий Селицкий]

И выполнять ровно ту же работу, что делает PDO::quote, но с вероятностью допустить ошибку. Отличная рекомендация, ага.

Answer 3

[Валерий Селицкий]

Ничто не мешает подготавливать DELETE запрос :-) И наоборот. Ничего не спасет от необходимости использовать PDO::quote.
Типичный пример - необходимость подстановок в мутациях данных с помощью Doctrine2 Migrations в моментах, когда нужно конкатенировать, например, списки строковых id.

Comments

[Оптимус Пьян]

Спасибо. PDO::quote надо для каждой переменной делать? Т.е. в примере и для $name и для $value

[Валерий Селицкий]

Дмитрий: экранировать имеет смысл те переменные, которые приходят в запрос извне, а не сгннерировпнные бизнес логикой. Приходящими извне можно считать и результаты других выборок, например выбрав никнейм пользователя мы не можем быть уверены, что в нем не написано "1' OR 1 UNION..."

Answer 4

[Глюкъ Виртуален]

Привет из будущего :)
Вас спасет $sth->debugDumpParams();
Просто напишите эту строку безо всяких вардампов, и все получится.