プリペアドステートメント とは？

SQL文のテンプレートだよ。例えばSELECT name FROM users WHERE id = ? のように値を渡す場所を作り、実行時にidの値を渡す。? や :name、$1など、使える表記はDBやAPIによって違うよ。

バインドした入力は命令ではなく値として扱われるので、その入力でSQLの構造を変えられなくなるんだ。ただし別の部分に入力を文字列としてつなげたら、そこから注入される危険は残るよ。

値のパラメータは、テーブル名・列名・ASCなどの命令語の代わりには使えないよ。そうした部分を選ばせるなら、プログラム側で用意した許可された候補に対応させる。入力をそのままSQLへつなげないことが大切だね。

解析などの繰り返しを減らせるけれど、必ず速くなるとは限らないよ。PostgreSQLは値に応じた計画を作る場合もあり、計画の作成が常に1回という説明はできない。PDOにはクライアント側で準備を模倣する実装もあるので、DBやDB接続用ライブラリの動作を確認するんだ。

ライブラリ名だけでは判断できないよ。値をバインドしているか、生SQLの部分で入力を連結していないかを確認する。LIKEの % や _ を文字として検索したい場合も、SQL命令の注入対策とは別に、パターンとしての意味を扱う必要があるよ。