DBAL QueryBuilder：避免SQL注入的safier方法是什么？

Question

根据 DBAL 文档，只有 setFirstResult 和 setMaxResults 这两种方法被设计为对 SQL 注入是安全的。但是在QueryBuilder部分，他们提到要安全地使用QueryBuilder，我们必须使用setParameter方法传递用户输入。所以我看到了2种方法来做到这一点，但我不知道它们是否有真正的区别：方式1：$qb->select('USR_id', 'USR_email')->from('T_user_USR')->where('USR_email = ? ')->setParameter(0, $email);$stmtQb = $qb->execute();$results = $stmtQb->fetchAll();方式 2 ：$qb->select('USR_id', 'USR_email')->from('T_user_USR')->where('USR_email = ? ');$stmtQb = $dbal->prepare($qb->getSQL());$stmtQb->bindValue(1, $email);$stmtQb->execute();$results = $stmtQb->fetchAll();最好的方法是什么？提前致谢

Answer 1

这两个示例最终执行相同的操作。也就是说，当您使用参数值时，将使用 绑定到语句。setParameter()bindValue()

请参阅 https://github.com/doctrine/dbal/blob/master/lib/Doctrine/DBAL/Connection.php#L1326-L1356，了解在 DBAL 中执行此操作的内部函数。

使用第二种形式的唯一原因是，如果要使用 而不是 。如果要通过引用将参数绑定到 PHP 变量，则可以执行此操作，例如，您可以在启动循环之前准备一次查询，然后在循环中多次执行它。bindParam()bindValue()

这两种方法在 SQL 注入方面提供相同程度的保护。