我需要清理輸入嗎？ PDO和mysql轉義

Question

//create user 
$create_user = $dbh->prepare('INSERT INTO users (email, passwordhash) 
         VALUES (:email, :passwordhash)'); 

如果有上面的準備語句，我還需要使用某種mysql_escape_string嗎？

Answer 1

不，您不需要在綁定變量的PDO準備語句中使用mysql_escape_string。直到您在預備功能中直接傳遞值，PDO會照顧到這一點。