簡單的PDO PHP建議

Question

當我在php中使用PDO時，我需要長時間的使用準備和綁定，我有點困惑。

在下面的代碼中，我應該使用prepare嗎？如果我使用這段代碼，$ name會被轉義，還是我需要使用mysql_real_escape_string？

$stmt = $db->query("UPDATE matches SET playerStatus = 4 WHERE name='$name' "); 

感謝

Answer 1

我有點困惑時，走一段路周圍，並用準備和綁定

這就是強大的，難以重振旗鼓，易於閱讀，易於維護的方法。不要認爲它是「漫長的路」。

在下面的代碼中，我應該使用prepare嗎？

是的。總是使用允許綁定參數的東西。

如果我使用此代碼，將在$名稱進行轉義，

在問題中的代碼，寫，不會逃避$query。你只是混合在一起的字符串。數據庫代碼沒有辦法知道你寫的是什麼SQL，什麼是不安全的外部數據。

還是我需要使用mysql_real_escape_string？

您需要使用允許綁定參數的內容。