PDO更新查询安全吗？

Question

我试图了解和阅读PDO.

我刚刚编写了以下内容并且它工作正常,但我想知道它是否安全,因为我没有逃避任何变量,它是否仍然要求我逃避这些？

// Get Post Variables 
$first_name = $_POST['first_name'];
$surname = $_POST['surname'];
$email_addr = $_POST['email_addr'];
$user_type = $_POST['user_type'];


// query
$sql = "UPDATE users
    SET first_name=?, surname=?, email_addr=?, user_age=?, user_type=?
    WHERE user_id=?";
$q = $conn->prepare($sql);
$q->execute(array($first_name,$surname,$email_addr,$user_age,$user_type,$uid));

Answer 1

在prepare()语句中不需要转义变量,因为它是使用这些语句的原因之一,如文档中所示:

调用PDO :: prepare()和PDOStatement :: execute()(...)有助于通过消除手动引用参数的需要来防止SQL注入攻击.