PDO 语句中的转义值

Question

prepare() 不会转义 PDO 语句中的任何 quotes(') 吗？由于某种原因，当我这样做时：

$sql = "INSERT INTO sessions (id, name) VALUES (1,'O'brian')";
$query = $this->connection->prepare($sql);
$query->execute();

我收到此错误：

Could not insert record SQLSTATE[42000]: [Microsoft][SQL Server Native Client 10.0][SQL Server]Incorrect syntax near 'brian'.

如果我使用 prepare() ，这怎么可能？

Answer 1

由于您没有在执行方法中传递值，因此它不会自动为您转义。以下内容将为您转义：

$sql = "INSERT INTO sessions (id, name) VALUES (1, ?)";
$query = $this->connection->prepare($sql);
$query->execute(array("O'brian"));

Answer 2

prepare() 不会转义任何引号(')
在 PDO 语句中？

不。事实上，PDO 根本没有进行转义。重点是使用绑定参数，因此，不需要转义字符。