Ang sql injections

Som Mads Ravn siger, så bør man bruge PDOs og prepared statements. Det sikrer så ikke 100% mod SQL injection, medmindre man bruger det rigtigt :-)

Man kan jo stadig gøre noget i stil med:

$stmt = $pdo->prepare("SELECT * FROM some_table WHERE id=" . $id);

PDO er et meget stort lag _oven_ på de direkte APIer... hvis der ikke er planer om at skulle supportere flere slags relationsdatabaser er PDO overflod.

Så se at få lært MySQLi driveren og dens prepared statements at kende, så er du godt på vej imod lidt mere sikker databasekommunikation.