Возможна ли SQL инъекция в случае, если мы проставляем параметры не полученые от пользователя?
Допустим, в коде есть запрос что-то типа:
SELECT * FROM users WHERE user_id = :user_id AND hidden = 'no' LIMIT 5;
В нем мы user_id делаем плейсхолдером, а hidden мы проставляем явно как no. с user_id проблем нет, но плохо ли, что hidden мы не сделали плейсхолдером? Возможно ли получить инъекцию?
