帶for循環的安全PDO mySQL SELECT語句

Question

我被告知要使用PDO從數據庫中安全地檢索數據。 現在，我想知道這是否安全或完全可行：

$dbtype     = "sqlite";
$dbhost     = "localhost";
$dbname     = "test";
$dbuser     = "root";
$dbpass     = "admin";
$conn = new PDO("mysql:host=$dbhost;dbname=$dbname",$dbuser,$dbpass);

$firstName = htmlspecialchars($_POST["firstName"]);
foreach($conn->query('SELECT * FROM employeeTable WHERE firstName = ' . $firstName) as $row) {
    echo $row['lastName'].' '.$row['email'];
}

因為在我看來，仍然有可能將某些內容“注入”到查詢中。

所以我的問題是：那真的安全嗎？

Answer 1

我認為您最好使用以下內容進行准備，准備過程是使注射無效

$sql = 'SELECT * FROM employeeTable WHERE firstName = :firstName';
$sth = $conn->prepare($sql); 
$sth -> bindParam(':firstName', $firstName);
$sth -> execute();
$result = $sth->fetchAll(PDO::FETCH_OBJ);
foreach ($result as $key => $value) {
    echo $value->lastName, $value->email;
}

Answer 2

只是要記住不要直接將post變量連接到查詢中，而應使用准備好的語句。 在執行准備好的語句之后，您需要獲取結果：

$select = $conn->prepare('SELECT * FROM employeeTable WHERE firstName = :firstName');
$select->execute(array(':firstName' => $_POST["firstName"));

while($row = $select->fetch(PDO::FETCH_ASSOC))
    echo $row['lastName'].' '.$row['email'];
}

這是一本好書：

http://wiki.hashphp.org/PDO_Tutorial_for_MySQL_Developers