pdoでバインドしない場合のデメリット

質問

$sth = $dbh->prepare('SELECT name, colour, calories
FROM fruit
WHERE calories < :calories AND colour = :colour');
$sth->bindParam(':calories', $calories, PDO::PARAM_INT);
$sth->bindParam(':colour', $colour, PDO::PARAM_STR, 12);
$sth->execute();

上記ではなく

$sth = $dbh->prepare('SELECT name, colour, calories
FROM fruit
WHERE calories < ? AND colour = ?');
$sth->execute(array($calories,$colour));

のようにbindParamやbindValueを使わない場合は危険はあるのでしょうか？

ご教示頂けますと幸いです。

宜しくお願いいたします。

回答No.1

yambejp · ベストアンサー

>危険はあるのでしょうか

ここでいう危険というのはインジェクションのリスクという意味ですよね？
プリペアド処理でリスクヘッジをしているのですから、その点に関しては
たぶん大丈夫ですが、きちんと管理しないと割り当てる箇所がずれたりしそうですね

お礼

回答ありがとうございました。
参考になりました。