PHP的bind_param使用变量或POST？

Question

当将bind_param与mysqli准备的语句一起使用时，我不确定是使用$_POST还是使用变量。 如果bind_param值来自通过网站提交的表单，将$_POST值直接放入bind_param是不安全的吗？

$newBlog->bind_param('ss',$_POST['newBlogTitle'],$_POST['newBlogContent']);

要么

$newBlogTitle = $_POST['newBlogTitle'];
$newBlogTitle = $_POST['newBlogContent'];
$newBlog->bind_param('ss',$newBlogTitle,$newBlogContent);

还是没关系？

Answer 1

将$ _POST值直接放入bind_param是不安全的吗？

字符串连接是SQL注入的关键。 但是，由于使用的是参数化查询，数据将自动转义，并且消除了注入风险。 是否将$ _POST变量分配给其他变量无关紧要。

Answer 2

没关系 变量的值相同，因为您只是将一个分配给另一个。