PDO的新手，如何正确编写此SQL？

Question

我是PDO的新手，我的问题是，在将$ input添加到查询中之前是否应该对其进行转义？ 我应该如何最好地实施它？

$input= $_POST['time']; //2012-07-21 17:00:00

foreach($db->query('SELECT * FROM events WHERE TIMESTAMPDIFF( HOUR , TIME, $input ) < 2') as $row) {
    echo $row['name'];
}

Answer 1

在您的情况下，尽管应使用准备好的语句，但您将不使用PDO :: quote（），这是您切换到mysqli或PDO的主要原因之一。

$db = new PDO('mysql:host=localhost;dbname=db', 'user','pass');

$query = $db->prepare('SELECT * FROM events WHERE TIMESTAMPDIFF( HOUR , TIME, :input ) < 2');
$query->bindValue(":input", $input, PDO::PARAM_INT);
$query->execute();
while($row = $query->fetch(PDO::FETCH_ASSOC))
{

}

Answer 2

我同意真理。

尽管要回答您的问题，mysql_real_escape_string（）需要一个活动连接才能起作用。 如果您尚未打开与数据库的任何连接，它将不起作用，否则它将采用最后打开的连接，除非您明确指定连接。