0

Возник вопрос, что безопаснее/лучше/грамотнее юзать. Сейчас на сайте используется ещё старая библиотека mysql, собираюсь переводить на mysqli объектную.
Дает ли мне что-либо использование метода prepare? Я так понимаю, его фишка в защите от инъекций из-за типизации и не только. Если использовать просто метод ->query, будет ли это опаснее?

P.S. У меня свои методы приёма GET/POST:

class Http
{

    public static function Get($request) {
        $result = @$_GET[$request];
        if (get_magic_quotes_gpc()) {
            $result = stripslashes($result);
        }
        $link = Repo::db_connect();
        $result = mysql_real_escape_string($result, $link);
        Repo::db_close();

        return $result;
    }

    public static function Post($request) {
        $result = @$_POST[$request];
        if (get_magic_quotes_gpc()) {
            $result = stripslashes($result);
        }
        $link = Repo::db_connect();
        $result = mysql_real_escape_string($result, $link);
        Repo::db_close();

        return $result;
    }
}
3
  • 1
    Исходя из мануала: "Подготавливаемые запросы используются для повышения эффективности, когда один запрос выполняется многократно". "Если параметризованный запрос запускается лишь раз, это приводит к большему количеству клиент-серверных обменов данными, нежели при выполнении простого запроса." То есть если запрос используется только один раз, то, естественно, лучше обычный query.
    – walik
    4 ноя 2014 в 20:32
  • >Если параметризованный запрос запускается лишь раз, это приводит к большему количеству клиент-серверных обменов данными, нежели при выполнении простого запроса Как правило, подобные запросы перебирают с помощью цикла while(), если не ошибаюсь, то он таскает запрос каждую итерацию. Если что, поправьте.
    – Bastiane
    4 ноя 2014 в 20:50
  • А если это $result->fetch_object() в цикле? По идее же $result весь получается за 1 раз, или я неправ?
    – Sleepless
    4 ноя 2014 в 20:55

1 ответ 1

2

Конечно, лучше использовать подготовленные запросы, но не всегда конечно же. Всё, как правило, зависит от ситуации, если в запрос не передаются какие-либо внешние данные, то в данном случае лучше использовать обычный query, нежели prepare.

По фильтрациям POST/GET:

$_GET = array_map('stripslashes', $_GET);

Чудеса бывают.

array_map() or array_filter()

1
  • так если с моим приёмом данных(даже если с вашими доработками), вроде от всех иннъекций помогает..собираюсь поверх query и multi_query нагородить свой класс,или этот пример prepare(docs.php.net/manual/ru/class.mysqli-result.php 2 коммент сверху) тоже неплох/лучше?
    – Sleepless
    4 ноя 2014 в 20:42

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.