odbc_prepare() gleich wie bei MySQLi?

Huhu,


bin gerade auf


odbc_prepare Statements gestoßen und frage mich ob diese genauso funktionieren wie in MySQLi also das damit eine SQL Injection nicht mehr möglich sei.


Kann mir dazu jemand was sagen?

[Only registered and activated users can see links. Click Here To Register...]

Wie man in den Beispielen sehen kann, funktioniert das prepared Statement genau gleich.

Muss ich die übergebenen Werte denn dort immernoch escapen?

nein. Wenn du nen String übergibst, wird die gesamte Zeichenkette als String gewertet (nicht als Erweiterung der Query). Es wird quasi schon escaped.

Ok vielen Dank.