バインドせずにPDOを使用すると

質問

PDOの使い方について教えてください。

例えば

$id=3;
$st = $pdo->prepare("SELECT * FROM user_table WHERE id=:id");
$st->bindValue(':id',$id, PDO::PARAM_INT);
$st->execute();

を

$id=3;
$st = $pdo->prepare("SELECT * FROM user_table WHERE id='$id' ");
$st->execute();

のようにバインドせずにPDOを使用するとSQLインジェクションなどのセキュリティ上問題があるのでしょうか？

よろしくお願い致します。

回答No.1

t_ohta

$id=3; としているだけなら問題ありません。
これが $id=$_POST['id']; となるとSQLインジェクションの問題が出てきます。