post by AJAX 和准备好的语句是否可以安全地避免 sql 注入？

Question

我有一个表格，post 到 file.php 由 AJAX 像这样：

<?php
    $sql = $db->prepare("INSERT INTO warna SET id_warna='', nm_warna=? ");
    $sql->bind_param("s", $nm_warna);
    $sql->execute();
?>

安全吗？或者我必须怎么做才能确保安全？

Answer 1

是的，它很安全。

准备好的语句和参数化查询用于防止SQL 注入。

您使用了相同的东西，这应该可以避免任何用户使用您的 SQL 查询。

PDO 是更好的选择，它还可以加快您的 SQL 查询速度。