確實 PDO prepare 不是徹底防止 sql injection , 但確可以讓程式碼少寫 , 且效能也比較好 , 某些情形下再加以不同的正規式 replace 過濾甚至還要搭配過濾掉資料含有 HTML SCRIPT 的元件來防止寫入資料庫後造成 xss 攻擊 , 這些則是網站開發者隨年齡與經驗必須慢慢去體會的

我去面試也有被問到這題
考試也有考

借轉喔!!!!

不管怎樣 感謝您~~~

基本上 execute() 也有返回 bool 可以讓你判斷有沒有錯 , 但若妳要完全用 Exeception 就要如上述網址去改看看

//print_r($sth->errorInfo()); //這裡可以輸出錯誤

} catch (PDOException $e) {
/*連線例外方法
===========================*/
echo "例外";
print_r( $e->errorInfo());
}
//$this->dbh =NULL;//關閉連線
}

這是我寫的一個連線方法 在最上面已經有產生資料庫連線
然而我故意傳入一個錯誤的資料庫 然而只有在TRY 那邊使用 $sth->errorInfo()
才會顯現錯誤語法~

然後在例外處理部分使用$e去接 並把它導向errorInfo()要列印出錯誤
結果
不管是
echo "例外"
或者 $e->errorInfo() 都沒有顯現資料

想說問大大能不能為我解惑~

之後再使用那問件去執行其他方法 只是最近在想該怎樣做可以做到防sql injection
且效能高 又不會很難維護的方法~ 目前已經有個大方向了~

最簡單的做法 , 一個基礎的 db class , 裡面有個 $this->db , 然後其他的資料操作邏輯都可以寫成物件去繼承 db class , 就很好用了

所以我稍微的去GOOGLE 找斷一段語法
// 組合 SQL 語法，取得符合 id = 2、name = ‘John’ 的資料
$sth = $dbh->prepare(‘SELECT * FROM table WHERE id = :id AND name = :name’);
$where = array(‘:id’ => 2, ‘:name’ => ‘John’);

// 使用 execute()，會自動 quote $where 的參數
$sth->execute($where);

所以簡單講~假設使用 prepare() 是做為宣告此資料庫連線，
然後使用 execute()做綁定動作時 execute()會自動quote傳入的變數達到簡短程式碼增加效率，

因為小弟目前是剛畢業的PHP 程式設計師，
每天用最多的 就是資料庫連線， 所以最近把PDO物件導向化，
希望把資料庫連線簡短且有效率，而不是寫得又臭又長又難維護，
查到 SQL Injection才來詢問您，還希望大大有機會可以認識認識，
因為對於台灣的資訊安全教育，我也真的很擔心所以目前在瘋狂的自我補強。

且你上面提到的 PDOStatment 也讓程式有比較方便或彈性的設計
其實我看到那段語法就想說 假設資料庫連線的宣告都先做成方法
例如 要使用 User Table時就Query(In User,$sql);
$sql=array(‘:id’ => 2, ‘:name’ => ‘John’);
把$sql帶入In User Table 這樣去就可以在下次使用時隨意更換資料庫
我這想法是不是就是你說的PDOStatment方便或彈性的設計嗎?

至於為何有另一種 PDOStatment 物件的做法
我個人已經不曉得到底這種做法是從那一種語言開始看到 , java jdbc 很早前就有用這種做法 , 早期的 PHP ADODB 套件就有導入這種做法
好處就是你可以不用寫那麼多程式碼 , 至少可以不用下太多次 PDO::quote , 可以用陣列帶值進去取代就和 PDO::quote() 的效果可預防 sql injection 了

另外 PDOStatment 也讓程式有比較方便或彈性的設計 , 你可能要仔細摸才能品味到