参数绑定能防御 SQL 注入攻击吗？

Question

最近老板开始培训 PHP 安全，今天提到了 SQL 注入攻击，说最简单的一种方式就是参数绑定，请问这个理由是什么？或者说还有其他更好的方法来防御 SQL 注入攻击？

Answer 1

不能，严格的过滤和检测才能有效防御，防御的最终目的，是保证要执行的sql，是你预期的sql，至于这个sql按照什么样的规则组合，才是防御的关键

Answer 2

绑定参数的原理就是SQL预处理，这个方法是最安全的！其他的防止SQL注入方法有过滤用户输入的参数，强制类型转换