I read that you do not need to validate or sanitize user's input, hazırlanmış ifadeler kullanmak durumunda.
Bu ancak aşağıdaki örnekte bana mantıklı gelmiyor.
Kullanıcı onun e-posta adresini verir.
Ben normalde bu çalıştırmak
Validation code
// to validate data
if (!filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)) {
header("Location: index.php");
die("Wrong email-address");
}
Deyimi biz hazır deyimleri kullandığınızda aşağıdaki gibi, verileri doğrulamak gerek yok diyor
Code without the validation code
// to get email-address nad passhash from the db
$result = pg_prepare($dbconn, "query2", 'SELECT email, passhash_md5
FROM users WHERE email = $1
AND passhash_md5 = $2;');
$result = pg_execute($dbconn, "query2", array($_POST['email'], $_POST['password']));
if(!$result) {
echo "An error occurred";
exit;
}
Biz pg_prepare ve pg_execute kullanmak beri, biz son kod doğrulama kodunu ihtiyacım olup olmadığını emin değilim.
Do you need to consider validating and sanitizing user's input if you use prepared statements?
