PDO Mysql, возник вопрос?

Question

[Кирилл Горелов]

Ребят, возник вопрос.
Недавно стал использовать pdo вместо mysqli.
Прочитал мануал phpfaq.ru/pdo, а если быть еще точнее то про подготовительные выражения phpfaq.ru/pdo#prepared. Почему автор говорит,что их нужно использовать обязательно, хотя на практике у меня работает и без них.

SELECT `key`, `$language` FROM language_solved WHERE page = '$page'

Answer 1

[DrunkMaster]

Подготовительные выражения делают ваш код более безопасным не давая совершить sql-инъекцию злоумышленнику

Answer 2

[Александр Таратин]

sql injection

Answer 3

[Андрей Николаев]

А откуда вы берете $language и $page ?
Если вы их задаете сами и они не зависят напрямую от пользовательского ввода - пожалуйста!

Что значит зависят или не зависят напрямую:

// $page зависит напрямую $_REQUEST['page']
$page = $_REQUEST['page'];

// $page не зависит напрямую от $_REQUEST['page']
$page = 'index';
if ( $_REQUEST['text']=='detail' ) {
	$page = 'detail';
}

Comments

[Rsa97]

Добавлю, заменять плейсхолдерами можно только данные. Имена таблиц и колонок, функции, ключевые слова MySQL плейсхолдерами не заменяются.