使用PDO消毒變量

Question

使用PDO時，是否還需要使用addslashes或者已經使用PDO完成了這項工作？

如果它已經完成，那麼在將數據插入表之前，還有其他的消毒方法嗎？

Answer 1

不，如果您正確使用PDOStatement，您絕對不需要addslashes。您不需要額外的清理來防止SQL注入。但是，您可能仍然希望以其他方式進行驗證。例如，您可能會檢查電子郵件字段「看起來像」電子郵件地址，或確保純文本字段不包含某些字符。最後，當您從輸出文本數據庫時，您可能必須轉義（例如，使用htmlspecialchars）。