這足夠安全嗎？

Question

我是PDO的新手，我只是想知道這段代碼：

$string = $_POST['string'];
$matches = $SQL->prepare("SELECT * FROM `users` WHERE `name` LIKE ?");
$matches->execute(array('%'.$string.'%'));

foreach($matches->fetchAll() as $match) {
    echo $match["name"]."<br/>";
}

足夠安全嗎？ 我只是不確定並防止黑客入侵。 此代碼將從數據庫中撤消所有users ，其名稱類似於$string變量。

隨意發布您的解決方案！

Answer 1

在執行查詢之前，PDO將自動轉義為其提供的任何輸入，因此就SQL注入攻擊而言，它是安全的。