PDO語句是否自動轉義？

Question

PHP PDO語句是自動轉義還是隻準備語句？

例如，假設$username和$password是用戶輸入。下面的代碼是否安全，還是易受注入？

$dbh = new PDO("mysql:host=localhost;dbname=mydb", $my_mysql_username, $my_mysql_password); 
$sth = $dbh->query("SELECT * FROM users WHERE username='$username' AND password='$password'"); 
$result = $sth->fetch(); 
if(!$result){ 
    $dbh->exec("INSERT INTO users (username, password) VALUES ('$username', '$password')"); 
} 

（上面的代碼純屬假設，例如僅供參考。）

如果它們不會自動逃脫，並提供PDO在這種情況下在mysql_功能的任何額外的保護？

Answer 1

只准備語句提供AUTOMAGIC逃逸，假設你沒有一些醜陋喜歡啓用魔術引號。並且只有參數中的數據纔會被轉義，而不是在準備語句時已經存在於SQL字符串中的任何數據。

如果你想要自動轉義的好處，你必須準備一個聲明，並分別給它的數據。

$sth = $dbh->prepare("SELECT * FROM users WHERE username=? AND password=?"); 
$sth->execute(array($username, $password)); 

否則，你得到很少的保護，以及mysqli_query和朋友。 （我拒絕甚至提到mysql_query，因爲沒有自尊心的PHP程序員再次使用它哦，等等..當然，這是唯一的提到它在這裏。）

Answer 2

他們沒有逃脫。你可以在這裏看到的例子：

http://www.phptherightway.com/#pdo