Partindo do principio que você sabe o que é SQL Injection
Primeiro precisa entender uma coisa, o Prepared Statement tem duas funcionalidades:
- Escapar valores (se bem utilizado)
- Otimizar buscas repetidas
Então você deve usa-lo sempre que possível, não necessariamente pela primeira mas pela segunda. Agora se você irá passar os valores pelo bindParam
depende se você sabe que valor é esse, e não se o valor é ou não uma constante
Por exemplo imagina que você possui uma classe que faz algumas consultas com paginação:
class Paginacao {
private $itensPorPagina;
public function __construct($itensPorPagina) {
$this->itensPorPagina = $itensPorPagina;
}
public function buscarPorNome($nome) {
$stmtPG = $conn->prepare("SELECT * FROM usuarios WHERE nome = :nome LIMIT $this->itensPorPagina");
$stmtPG->bindParam(':nome', $name, PDO::PARAM_STR);
//...
}
public function buscarPorTelefone($telefone) {
$stmtPG = $conn->prepare("SELECT * FROM usuarios WHERE telefone = :telefone LIMIT $this->itensPorPagina");
$stmtPG->bindParam(':telefone', $telefone, PDO::PARAM_STR);
//...
}
}
Então você usaria dessa forma
$paginacao = new Paginacao(25);
$paginacao->buscarPorNome($_GET["nome"]);
Observe que itensPorPagina
não é uma constante, mas quem define seu valor é o programador na hora de instanciar a classe Paginacao
Você não precisa passar o itensPorPagina
por bindValue
porque você sabe que o valor dele é apenas um inteiro de valor 25, o fato de ser uma constante não tem nada a ver
Agora se fosse uma variável que viesse do usuário, como o nome e telefone, então sim, você precisa passar por bindParam
para evitar SQL Injection
Conclusão
Você não precisa passar variáveis como parâmetro em instruções SQL se você sabe qual é o seu valor. Só passe aquilo que é duvidoso (entradas do usuário)