2

Правильно ли в данной function экранируются передаваемые данные? Возможен ли другой способ экранирования ? bindparam не работает для $DBH->query

 public function CheckAuth($email, $password)
{

    $DBH = Registry::get('DBH');
    try {

        $email = $DBH->quote($email);
        $password = $DBH->quote($password);
        $STH = $DBH->query("SELECT id FROM user WHERE mail=$email AND password =$password");

        $result = $STH->setFetchMode(PDO::FETCH_ASSOC);
        while ($row = $STH->fetch()) {

            return $row['id'];

        }

    } catch (PDOException $e) {
        print $e->getMessage();
    }

}

1 ответ 1

4

Если вы используете эту функцию для построения SQL запросов, настоятельно рекомендуется пользоваться методом PDO::prepare() для подготовки запроса с псевдопеременными вместо использования PDO::quote() для вставки данных введенных пользователем в SQL запрос. Подготавливаемые запросы с параметрами не только компактней, удобней, устойчивей к SQL иньекциям, но и работают быстрее, нежели вручную построенные запросы, так как и клиент и сервер могут кэшировать такие запросы в уже скомпилированном виде.

доки PDO::quote()

bindparam не работает для $DBH->query

И еще раз к докам. Такой метод (а точнее, bindParam) есть у PDOStatement, и в его же описании находятся примеры его использования - PDOStatement возвращается методом PDO::prepare(). А про query() можно уже из названия догадаться, что он выполняет запрос здесь и сейчас, не говоря уж, простите мою привязанность, о доках.

1
  • 3
    доки для слабаков, лучше на форуме спросить
    – Gedweb
    18 мая 2014 в 7:09

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.