Estou desenvolvendo uma aplicação com PDO, e uso normalmente o bindValue()
para executar os SELECT
's, mas estou desenvolvendo uma aplicação que recebe uma variável que contém números e vírgula, que posteriormente serão explodidos.
O que queria saber é: Dessa forma é segura para evitar ataques, senão, como seriam efetuados esses ataques?
$categories = '10,12,22,123,120'; # ESSES SÃO OS ID'S DAS CATEGORIAS DESEJADAS
$category = explode(',', $categories);
for ($i = 0; $i < count($category); $i++) {
if (is_numeric($category[$i]) {
$this->condition .= "categoryName = '{$category[$i]}'";
if ($i < count($category) - 1) {
$this->condition .= ' AND ';
}
}
}
is_numeric
permite números gigantes, maiores do que o máximo do uint64, o que pode ser um problema. Além disso, ele permite float.