Prepared statements. Как работает?

[Vano]

$data = array( 'name' => 'Cathy', 'addr' => '9 Dark and Twisty', 'city' => 'Cardiff' ); 
$STH = $DBH->prepare("INSERT INTO folks (name, addr, city) values (:name, :addr, :city)"); 
$STH->execute($data);

Каким макаром такой запрос спасает от SQL-injection? У меня догадка - чтобы не ввели в $data, уже не получится создать новую логическую операцию.

 

[peon]

$data = array( 'name' => 'Cathy', 'addr' => '9 Dark and Twisty', 'city' => 'Cardiff' );
$STH = $DBH->prepare("INSERT INTO folks (name, addr, city) values (:name, :addr, :city)");
$STH->execute($data);

Каким макаром такой запрос спасает от SQL-injection? У меня догадка - чтобы не ввели в $data, уже не получится создать новую логическую операцию.

1) параметр внутри prepare это шаблон, который не должен содержать данные из внешнего ввода (то есть данные представляющие значения в бд)
2) дальше данные корректно экранируются без твоей помощи

значить только ты сможешь саботировать инъекцию

 

[Фанат]

Инъекция является следствием некорректно отформатированных данных.
Подставляя в запрос name, addr и city, драйвер корректно отформатирует их.

 

[Vano]

А когда в Yii в метод where передается массив типа

$condition['status'] = $status;
$condition['status2'] = $status2;
->where($condition)

Где переменные приходят от пользователя. Это безопасно? Фреймворк не лепит тупо строку из массива. Я прав?

 

[Фанат]

Фреймворк не лепит тупо строку из массива. Я прав?

прав

 

[Vano]

прав

Спасибо за ответ.

 

[Absinthe]

Фреймворк не лепит тупо строку из массива. Я прав?

Прав, строку из массива лепит PDO, и к СУБД отправляется уже готовая строка со всеми подстановками.
Это так PDO работает по умолчанию.