odbc_prepare() gleich wie bei MySQLi?

[xsrf]

Huhu,


bin gerade auf


odbc_prepare Statements gestoßen und frage mich ob diese genauso funktionieren wie in MySQLi also das damit eine SQL Injection nicht mehr möglich sei.


Kann mir dazu jemand was sagen?

[マルコ]

Wie man in den Beispielen sehen kann, funktioniert das prepared Statement genau gleich.

[xsrf]

Muss ich die übergebenen Werte denn dort immernoch escapen?

[マルコ]

nein. Wenn du nen String übergibst, wird die gesamte Zeichenkette als String gewertet (nicht als Erweiterung der Query). Es wird quasi schon escaped.

[xsrf]

Ok vielen Dank.