prepareについて

とっても基本的な質問で申し訳ないのですが

mysql::prepare
PDO::prepare
以上の２つのprepareのマニュアルについて
見比べたところ、PDOの方についてはSQQLインジェクションについての記述があるのに対し
mysqliについてはそのような記述が一切ありません。
これはmysqliの方ではエスケープ(サニタイズ)は行われていないということなのでしょうか？

行動規範の内容に同意します

回答1件

ベストアンサー

mysqliの方でも正しく使えば問題無くエスケープされます。

投稿2015/11/09 10:57

tanat

総合スコア18713

tanat

2015/11/09 11:11 編集

正確にはエスケープされるというよりは、事前（値の解釈の前に）にSQLの文章構造が決定されるため、値が文章構造に影響を与えることが出来なくなる=原理的にSQLインジェクションが成立しなくなる　というのがセキュリティ的な面でのプリペアドステートメントの役割です。パフォーマンス的な役割もあります。

saba

2015/11/09 12:41

ありがとうございました。簡単な質問で申し訳ありませんでした。

tanat

2015/11/09 13:31

これは知らないとわからない部類のお話しなので、お気になさらず。このケースに限らず、実際に挙動を確認されてみると面白いと思います。仮想環境を使えば壊れても簡単に元に戻せるようなテスト環境が作れますのでチャレンジしてみてください。 SQLインジェクションの場合 PHP SQL 例などで検索すると危険なSQLの例が出てきますので、それをprepare()を使用して問題無いことを試してみると言った感じでしょうか。

saba

2015/11/09 14:23

そうですね、実際に調べてみるのが多分一番納得のいく解決法ですね。 PDOの方は使ったことがあるのですが、mysqliを使ってみようとしてマニュアルを眺めていたら記述がなく、あれれと思って質問させていただいた次第です。ありがとうございました。重ねてお礼申し上げます