Очистка ввода для взаимодействия с базой данных в Zend Framework

Question

В таких командах в Zend Framework

$mapperObject->fetchAll($where, $order, $count, $offset);

Нужно ли быть осторожным с тем, что содержат переменные, или ZF позаботится об этом для SQL-инъекций и все такое?

Answer 1

Предполагая, что используется стандартный Zend_Db_Table->fetchAll, тогда вы действительно защищены от внедрения SQL, если вы используете безопасные методы для создания параметров, например:

 $where = $select->where('id = ?', $id);
 // or ..
 $where = $select->where('id = :id');

, а не

 $where = $select->where('id = $id');