我需要消毒输入吗？ PDO和mysql逃脱

Question

//create user
$create_user = $dbh->prepare('INSERT INTO users (email, passwordhash)
                       VALUES (:email, :passwordhash)');

如果有如上所述的prepare语句，是否还需要使用某种mysql_escape_string？

Answer 1

不，您不需要在绑定变量的PDO准备语句中使用mysql_escape_string。 PDO将负责这一点，直到您在preapare函数中直接传递值。