sqlのvaluesの書き方

Question

phpでbindValueあたりを学習していて疑問が湧きました。
環境：Mysql,MacOS catalina,PHP7 など

1

INSERT INTO `users` (`a`, `b`, `c`, `d`) VALUES (:a_data, :b_data, :c_data, :d_data)

2

INSERT INTO `users` (`a`, `b`, `c`, `d`) VALUES (?,?,?,?)

sqlを書く際に、
?で書くか、変数で書くかどちらが好ましいでしょうか？

Comments

[gentaro]

回答に必要な情報が足りません。
最低限利用しているRDBMSは書いてください。

[Orlofsky]

[MySQL]タグを追加してください。

[m.ts10806]

観点は何でしょうか。

[m.ts10806]

「PHP」タグも追加してください。
SQLの質問ではありません。PHPの書き方の質問です。
観点次第では「セキュリティー」タグも必要でしょうね。

Answer 1

読みやすさの点で、名前つきプレースホルダの方が優れていると思います。
あと、同じ名前を使って同じ値を入れたい！って要件があったときには、当然名前つきプレースホルダでしか対応できません。
(まぁエミュレーションが ON になっていないと使えないとかの制限も発生しますが)

ただ、正直、独自のコーディングルールが無ければどちらでも良いかと。

面白い記事を見つけたので張っときますｗ
【PHP】PDOのプリペアドステートメントで疑問符パラメータと名前付きパラメータを混在させるとどうなるか

Comments

[退会済みユーザー]

回答は PDO 前提ですｗ

Answer 2

SQLインジェクション を避ける為に必ず 1 を選択します。

Comments

[Orlofsky]

質問がラフ過ぎるので、以下のURLのINSERT部分くらい書けた方が適切なコメントが付き易いです。

PHPでPDOを使ってMySQLに接続、INSERT, UPDATE, DELETE, COUNT, SUM https://qiita.com/tabo_purify/items/2575a58c54e43cd59630

[m.ts10806]

2でもインジェクションは避けられるのでは？

[退会済みユーザー]

この回答は意図が分かりません。
勘違いでなければ、補足をお願いします。

[Orlofsky]

わたしの勘違いです。すみません。