Os resultados são equivalentes tanto assim:
$safeuser = $mysqli -> real_escape_string($user );
$safepassword = $mysqli -> real_escape_string($password);
$mysqli->query( "INSERT INTO usuarios ( nome, senha ) VALUES ( '$safeuser','$safepassword' )" );
... quanto assim:
$stmt = $mysqli->prepare( 'INSERT INTO usuarios ( nome, senha ) VALUES ( ?, ? )' );
$stmt->bind_param("ss", $user, $password );
$stmt->execute();
Porém, prepared statements apresentam algumas vantagens:
- A query original fica muito mais legível (assim como o resto do código).
- Você não precisa lidar com as aspas na sua query, independente do tipo de parâmetro.
- Não tem perigo de esquecer de tratar as variáveis.
- Não precisa criar variáveis intermediárias ou alterar as originais para inserir no banco;
- Não é o seu caso, mas em situações onde a mesma query vai ser executada varias vezes seguidas apenas mudando valores, o conector do MySQL só vai mandar os dados atualizados, em vez de mandar a query inteira e refazer o planejamento (o que é o grande diferencial de fazer binding nativo, pelo servidor).
password()
do MySQL ao invés de fazer o hash no PHP, conforme lhe falei em pt.stackoverflow.com/questions/16967/…. Pode até existir, mas não vejo vantagem de fazer no PHP.password_hash()
. É preciso entender o porque do que está lá. Mas se eles já falaram uma besteira no parágrafo, não sei se dá para confiar no resto. Já vi várias aplicações conhecidas usando. Qualquer coisa usada sem contexto tem chance de estar errada. Concordo quebcript
é uma boa opção.