安全的班级建设

Question

以__construct()这种方式登录或注册课程是否安全:

function __construct(PDO $DBH, $_POST['1'], $_POST['2'])
{
    $this->_user=$_POST['1'];
    $this->_pass=$_POST['2'];
    $this->_DBH=$DBH;
}

我想稍后在这个类中清理用户输入,我不确定我的代码是否适合SQL注入或XSS因为使用原始POST输入进行了类处理？

Answer 1

如果您知道清理/使用预准备语句(即原始POST数据未按原样插入查询),则可以这样做.

实际上,如果使用预准备语句,则根本不需要清理输入(对于SQL,如果要将数据显示为HTML,则仍需要对其进行清理).