PDO::ATTR_EMULATE_PREPARES => falseは必要か

Question

実現したいこと

SQLインジェクション対策をしつつ
レスポンスは維持したい

前提

　
現在、古い仕様の既存サイトのSQLインジェクション対策をしております。
そこで、
PDO::ATTR_EMULATE_PREPARES => false
としてプリペアドステートメントに置き換えているのですが

PDO::ATTR_EMULATE_PREPARES => false
このプリペアドステートメント、パフォーマンス的にはあまり良くありません。1つのクエリを実行するために、プレースホルダ付きのクエリを投げた後に、それに値をバインドして実行するコマンドを投げるので、1回のクエリを実行するのに2往復の通信が必要になるのです。

という記事を見つけました

変数の値を、正しくエスケープ処理して、SQLに埋め込めば良いのです。

と続けてあったのですが、受け取った変数を指定した型であるか確認したりエスケープ処理した上でSQL文に埋め込んで実行することでも十分とは言わずとも対策としてはされているのでしょうか

Answer 1

4年前ぐらいに同様の質問がなされていました。

なお、

受け取った変数を指定した型であるか確認したりエスケープ処理した上でSQL文に埋め込んで実行することでも十分とは言わずとも対策としてはされているのでしょうか

こちらについてですが、エミュレートにすると返り値が全部文字列になるという事例も見受けられるようです（参照）。

Comments

[u-sukesan]

なるほど、ありがとうございます。
返り値が文字列になってしまう場合の対応とインジェクションのリスクと
エミュレートOFFにした場合のレスポンス

どちらがいいのか考えてみます。