Знаю, что есть такая вещь как подготовленные запросы.
Например в PDO
PHP можно быть увереным, что никаких SQL инъекций случиться не может если писать например:
$stmt = $dbh->prepare("INSERT INTO `test_table` (name, value) VALUES (?, ?)");
$stmt->bindParam(1, $name);
$stmt->bindParam(2, $value);
$name = 'one';
$value = 1;
$stmt->execute();
Я понимаю, что это всё, по факту, вызывает методы PREPARE
и EXECUTE
самой БД, но я не смог правильно составить запрос в поиске о том, почему это работает? То есть понятно, что запрос как бы сохраняется в кеше и туда подставляются данные. Но, они же подставляются в итоге. Почему это безопасно? Почему инъекция в этом случае невозможна? Все переменные (плейсхолдеры) в итоге в БД обрабатываются специальными функциями как только им говорят prepare
?
aaa'@par1'bbb
. Положи в А2 значениеaaa'@par2'bbb
. Выполни поиск/замену@par1
наccc'ddd
. Выполни текст по столбцам по одинарной кавычке. Выполни поиск/замену@par2
наccc'ddd
. Результат - разный... Вот первое - это прямая подстановка в запрос, а второе - подстановка в подготовленный запрос.