MySQL/PDO::quote() 尽管使用 PDO::PARAM_INT 参数，但仍在整数周围加上引号

Question

看来无论我传递给 $pdo->quote($value, $type); 的值/数据类型对，它总是将其作为字符串引用：

echo $pdo->quote('foo', PDO::PARAM_STR); /* 'foo', as expected */

echo $pdo->quote(42, PDO::PARAM_INT);    /* '42', expected 42 unquoted */

我只是好奇知道这是否是预期的功能。我使用准备好的语句来执行实际查询，但我正在尝试fetch创建最终查询字符串（用于调试/缓存），并手动构建它们。

正如标题所示，这是使用 MySQL 驱动程序创建 $pdo 的时间。由于不可用，我没有尝试过其他的。

Answer 1

• Oracle , SQLite和 Firebird 驱动程序均引用为 PDO MySQL 驱动程序，忽略参数类型。
• MSSQL驱动程序仅检查参数类型是否应使用国家或常规字符集（基于PDO： :PARAM_STR_NATL 和 PDO::PARAM_STR_CHAR 标志);否则，它会忽略参数类型。
• PostgreSQL 驱动程序 仅区分二进制大对象和所有其他对象。
• ODBC 驱动程序 没有实现引用者。

您期望的（缺乏）行为被报告为错误并关闭为“bogus”，意思是该行为是有意设计的。当文档指出以下内容时，可能会产生误导：

PDO::quote() 在输入字符串周围加引号（如果需要）

虽然这表明可能存在值没有被引号包围的情况，但它并没有说肯定有，也没有它说明了这些实例是什么。如果您认为这是文档中的错误，请提交错误报告，最好包含修复程序。

Answer 2

  public static function quote($value, $pdotype = PDO::PARAM_STR)
    {
        if ($pdotype == PDO::PARAM_INT)
            return (int)$value;
        return Db::pdo()->quote($value, $pdotype);
    }

根据 PDO 开发人员的说法，这是他们的代码和文档中的故意错误。
他们似乎不打算纠正它，因此您可以通过包装他们的错误函数并根据需要替换行为来自己完成。
实际上你别无选择，因为在某些情况下你需要对数字进行正确的引用行为，你不能在任何地方都使用字符串引用，因为 SQL 可能不接受它。

作为旁注，上述函数将从任何非法数据中生成 0。
SQL 注入是不可能的，但不会引发错误。
如果您想捕获错误，您可以对两个变量执行“strlen”，如果不同，您就知道存在问题或入侵尝试。