Comment utiliser des déclarations préparées avec Postgres

Cela signifie qu'il vous aidera à prévenir les attaques d'injection SQL en éliminant la nécessité de citer manuellement les paramètres.

Au lieu de placer une variable dans le SQL, vous utilisez un marqueur nommé ou d'interrogation pour lequel des valeurs réelles seront substituées lorsque l'instruction est exécutée. P>

Définition de PDO du manuel PHP:
"L'extension des objets de données PHP (PDO) définit une interface légère et cohérente pour accéder à des bases de données en php." P>

Voir le manuel PHP sur PDO et PDO :: Préparez .

Un exemple d'une instruction préparée avec des marqueurs nommés: p> xxx pré>

un exemple d'une déclaration préparée avec marqueurs d'interrogation: p>

<?php
$pdo = new PDO('pgsql:dbname=example;user=me;password=pass;host=localhost;port=5432');

$sql = "SELECT username, password
FROM users
WHERE username = ?
AND password = ?";

$sth = $pdo->prepare($sql);
$sth->execute(array($_POST['username'], $_POST['password']));
$result = $sth->fetchAll();

réponse à la réponse de karim79

ceci xxx

semble être identique à ce xxx

Conclusion: L'utilisation de pg_prepare et pg_execute fait beaucoup plus efficacement PHP, car vous n'avez pas besoin de prendre en compte désinfectionner. Il vous aide également à utiliser PDO.