• Als Spam markieren
• Beitrag melden

• 
  Diese Gruppe Alles

• Archiv
• RSS-Feeds

• Kontakt
• Hilfe
• Impressum
• Datenschutz

Prepared Statements -- sinnvoll bei Webanwendungen?

Hallo,

Prepared Statements sollen ja im wesentlichen zwei Vorteile bieten:
1) Bessere Performance, weil nicht jedesmal dasselbe Statement neu
vorbereit werden muß und
2) Mehr Sicherheit gegen SQL-Injection u.ä. Böswilligkeiten.

Da ein solches Statement aber nur so lange "lebt" wie das laufende
Script (bzw. die aktuelle DB-Verbindung), und dieses wohl nur höchst
selten dieselbe Anweisung mehrfach ausführen wird, scheint mir Punkt 1)
im Fall von Webanwendungen irrelevant zu sein. Und die von der
jeweiligen DB-Erweiterung bereitgestellten Escape-Funktionen sollten
doch ihren Job tun und damit -- Punkt 2) -- die gleiche Sicherheit
bieten. Da außerdem die Verwendung von prepared Statements etwas
umständlicher ist als normales Escapen ohne Verwendung letzterer, frage
ich mich, ob es sinnvoll ist, dieses Feature bei Webanwendungen
überhaupt zu verwenden.

Hat jemand ein paar konstruktive Denkanstöße bzw. Argumente zu dem Thema?

Gruß,
Thomas

--
Ce n'est pas parce qu'ils sont nombreux à avoir tort qu'ils ont raison!
(Coluche)

Antworten