MySQL 'prepared statement' in PHP senza estensione 'mysqli'
|
I 'prepared statement' sono forse l'arma più efficace che abbiamo contro la piaga del 'sql injecting'.
In MySQL esistono dalla versione 4.1 in su e da PHP è possibile accedervi direttamente se è installata l'estensione 'mysqi'.
Sfortunatamente non tutti i provider di hosting la forniscono, ma possiamo sempre utilizzare i 'prepared statement' direttamente in SQL.
Ecco un piccolo esempio:
PREPARE my_statement FROM "SELECT myfield FROM mytable WHERE myothefield = ?";
SET @myparam = "whatever";
EXECUTE my_statement USING @myparam;
DEALLOCATE PREPARE my_statement;
|
Tips'n Tricks 
