PHPのsql文の発行の際にprepareの引数にsql文を直接入れるか変数として入れるか

Question

PHPで

 $stmt = $dbh->prepare('SELECT * FROM hagoli');
  $stmt->execute();

と

$stmt ->"SELECT * FROM hagoli";
 $stmt = $dbh->prepare($stmt);
  $stmt->execute();

どちらの方がSQLインジェクション的に,安全性的に良いのでしょうか
実際、変数として扱うかどうかはデザインの好みによると思いますが
実際はどうなのでしょうか

Comments

[退会済みユーザー]

示されている文例、どちらも変数をバインドしていないように見えます。もうちょっと丁寧に、動くサンプルコードを書いてください。

[m.ts10806]

提示コードのどこにもSQLインジェクションはありませんが。

Answer 1

$stmt ->"SELECT * FROM hagoli"; で文法エラーになります。
たとえ、これを代入演算子で訂正したとして、
SQL文を固定の文字列で与えるだけなら、なんの差も付きません。

むしろ、POST受信やGET受信したパラメータを、
文字列連結などでSQL文に流し込むケースが問題になります。

SQLインジェクション対策について：
SQLインジェクションとその対策(PHP + PDO) - Qiita

Comments

[nguyenseiji]

ありがとうございます
サイトの方を拝見してみたらprepareの中にsql文を書いていましたので
特に問題ないようですね！

Answer 2

どちらの方がSQLインジェクション的に,安全性的に良いのでしょうか

善悪の判断以前に、後者は文法的に成立していません。

（後者のようにSQL文だけを別「変数」に入れるメリットは特にないですが、やるとすればSQL文は$sqlに、PDOのステートメントは$stmtに、というように、同じ変数を別種の値で上書きせず勧めたほうがいいかと思います）