매개 변수화 된 PDO 문 : 신뢰할 수있는 상수 값을 매개 변수화해야합니까? 이 쿼리에서

Question

SELECT name FROM customers WHERE location = ? AND active = '1' 

는 위치의 값은 신뢰할 수없는 소스에서 온 것이지만, 활성의 값은 내가 PHP/MySQL 용 PDO를 사용하고 항상 = 1이 될 것입니다.

또한 의 값을으로 매개 변수화해야합니까?
이 상수가 아니지만 변경되고 신뢰할 수있는 출처에서 제공된 경우 매개 변수화해야합니까? (즉, 캐싱의 이점은 무엇입니까?)

Answer 1

아니요, 상수 값을 매개 변수화하는 것은 이점이 없습니다.

파라미터 설정의 목적은 응용 프로그램 데이터는 SQL 표현식을 반복안전하게 및 과 결합 될 수 있도록하는 것입니다. 안전한 부분은 SQL 삽입을 방지하는 것입니다. 반복적 인 부분은 다른 값으로 준비된 쿼리를 다시 실행할 수 있으므로 RDBMS가 쿼리를 다시 구문 분석하고 다시 최적화하지 않아도된다는 점입니다.

항상 같은 상수 값을 쿼리에 사용하면 이러한 문제가 발생하지 않습니다. 하드 코드 된 값으로 인해 SQL 주입이 발생할 위험이 없으며 필요할 때 재 파싱하지 않고도 쿼리를 다시 실행할 수 있습니다.

진행중인 매개 변수의 캐싱이 없습니다. 무엇이든 준비된 문을 사용하면 이 더 열악 해져서이 결과를 캐시합니다 (예 : query cache has limitation on caching results from prepared statements). 하지만 일단 준비된 문장을 사용하면 두 개 이상의 매개 변수를 가지고 있는지 여부가 중요하지 않습니다.

---

왜 정수를 따옴표로 넣을지 궁금합니다. 나는 그것을 많이 보았지만 그것이 어떻게 시작되었거나 그것이 필요하다고 생각하는지 전혀 모른다.