使用php正确编写PostgreSQL准备/执行语句？

我听说在SQL语句中使用PREPARE和EXECUTE会将用户提供的数据清理为无法注入SQL的内容.这是真的？

我的原始查询是这样的：

$query =
"SELECT * FROM sales_orders
WHERE ksisoldby ILIKE '".$user."'";


这是我将其更改为prepare / execute语句的最佳猜测：

$id = $_POST['id'];
$search = $_POST['user_supplied_search_term'];
PREPARE search_query_function (varchar, varchar) AS
SELECT * FROM sales_orders
WHERE ksisoldby ILIKE '$1'";
EXECUTE search_query_function($id, $search);
?>


这是正确编写/调用的吗？我也读过一些内置的php对象(PDO).我应该使用它们还是结合使用？感谢您对此类广泛问题的帮助.

解决方法:

通过使用预准备语句在PHP中合并prepare()和execute(),这些语句在使用PDO时可用.此扩展负责根据您选择的数据库驱动程序为数据库创建相应的PREPARE和EXECUTE语句.

以下是使用prepare()和execute()从the PHP manual改编的示例.

$sth = $dbh->prepare('SELECT * FROM sales_orders
WHERE ksisoldby ILIKE ?');
$sth->execute( array( $_POST['user_supplied_search_term']));


这将为您处理参数转义并创建类似于以下内容的SQL语句：

SELECT * FROM sales_orders
WHERE ksisoldby ILIKE 'something'


因此,您需要调整上面的代码以在prepare()调用中包含SQL语句,这需要您将占位符添加到您希望包含参数的位置.然后调用execute(),它将添加传递给它的值.