关于php：这是一种将表单数据插入MySQL数据库的安全方法吗？

Is this a secure method to insert form data into a MySQL database?

本问题已经有最佳答案，请猛点这里访问。

Possible Duplicate:
Best way to stop SQL Injection in PHP

这是w3schools.org上的示例：

HTML表单：

1
2
3
4
5
6
7
8
9
10
11
12

<html>
<body>

<form action="insert.php" method="post">
Firstname: <input type="text" name="firstname" />
Lastname: <input type="text" name="lastname" />
Age: <input type="text" name="age" />
<input type="submit" />
</form>

</body>
</html>

插入：PHP:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

<?php
$con = mysql_connect("localhost","peter","abc123");
if (!$con)
{
die('Could not connect: ' . mysql_error());
}

mysql_select_db("my_db", $con);

$sql="INSERT INTO Persons (FirstName, LastName, Age)
VALUES
('$_POST[firstname]','$_POST[lastname]','$_POST[age]')";

if (!mysql_query($sql,$con))
{
die('Error: ' . mysql_error());
}
echo"1 record added";

mysql_close($con)
?>

我读过这里的其他文章，但找不到直接的答案，因为大多数都要复杂得多。

编辑：我研究了停止PHP中的SQL注入的最佳方法，但是我对如何修改这个有点困惑：

1
2
3

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute(array(':column' => $unsafeValue));

假设我使用了上面的HTML表单并希望将字段"firstname"中的数据插入数据库，它应该是这样的吗？还是应该修改column？：

1
2
3

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute(array(':column' => $firstname));