这个准备好的语句可以防止SQL注入吗？

这个问题已经在这里有了答案：            >            Are PDO prepared statements sufficient to prevent SQL injection?                                    7个

$string = trim($_POST['string'])
$sql = "INSERT INTO table (string) VALUES(:string)";
$query = $db->prepare($sql);
$query->execute(array(
    ":string" => $string
));

此代码块可以阻止SQL注入吗？

编辑：
这是我与数据库的连接.此代码的字符集是否允许执行以上代码块并防止SQL注入？

//database credentials
define('DBHOST','localhost');
define('DBUSER','root');
define('DBPASS','');
define('DBNAME','table');

//application address
define('DIR','http://localhost/');
define('SITEEMAIL','noreply@example.com');

try {

//create PDO connection 
$db = new PDO("mysql:host=".DBHOST.";port=3306;dbname=".DBNAME, DBUSER, DBPASS);
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

} catch(PDOException $e) {
//show error
echo 'Looks like server is down please check back later';
exit;
}

解决方法:

是的,它将阻止SQL注入,因为

预备语句使用绑定参数.

预处理语句不会将变量与SQL字符串组合在一起,因此攻击者无法修改SQL语句.

预处理语句将变量与已编译的SQL语句结合在一起,这意味着SQL和变量是分开发送的,并且变量仅被解释为字符串,而不是SQL语句的一部分.

标签：sql-injection,sql,php,pdo
来源： https://codeday.me/bug/20191119/2039476.html