Оператор PDO/prep/белый список/установить кодировку, достаточно ли это безопасно, чтобы предотвратить внедрение

Да, ваш код полностью защищен от SQL-инъекций. Молодец.

Хотя, как указывает @YourCommonSense, в приведенном вами примере нет причин вообще превращать имена таблиц и столбцов в переменные. Было бы проще просто вписать их в запрос буквально.

Поэтому я предполагаю, что вы задаете этот вопрос, потому что иногда вы делаете выбор имен таблиц и столбцов с помощью логики приложения или переменных, даже если вы не показали этого в этом конкретном примере.

Единственные советы, которые я могу дать:

• Всякая конкатенация строк с конечными двойными кавычками, использованием . и повторным запуском двойных кавычек делает код неопрятным, и может быть сложно отслеживать, какие двойные кавычки вы начали и какие остановили. Альтернативный стиль интерполяции строк PHP для переменных заключается в заключении их в фигурные скобки, как показано ниже:

  $sql = "SELECT COUNT(DISTINCT `{$field[0]}`) as ctmod FROM `{$table[0]}`
      INNER JOIN `{$table[1]}` USING (`{$field[1]}`)
      INNER JOIN `{$table[2]}` USING (`{$field[0]}`)
      WHERE `{$field[2]}` BETWEEN :arr_i AND :arr_k
      AND `{$field[3]}` = :m_act
      AND `{$field[4]}` = :v_act";
  

• И в качестве еще одной альтернативы вы можете использовать здесь документы, поэтому вам вообще не нужно беспокоиться об ограничении строки. Хорошо, если у вас есть буквальные двойные кавычки внутри вашей строки, потому что вам не нужно их экранировать:

  $sql = <<<GO
      SELECT COUNT(DISTINCT `{$field[0]}`) as ctmod FROM `{$table[0]}`
      INNER JOIN `{$table[1]}` USING (`{$field[1]}`)
      INNER JOIN `{$table[2]}` USING (`{$field[0]}`)
      WHERE `{$field[2]}` BETWEEN :arr_i AND :arr_k
      AND `{$field[3]}` = :m_act
      AND `{$field[4]}` = :v_act
  GO;
  

• Наконец, это не имеет ничего общего с внедрением SQL, но хорошей практикой является проверка возвращаемого значения от prepare() и execute(), потому что они возвращают false, если возникает ошибка при синтаксическом анализе или выполнении.

  if (($stmt = $link->prepare($sql)) === false) {
      trigger_error(PDO::errorInfo()[2], E_USER_ERROR);
  }
  

  (В этом примере используется синтаксис PHP 5.4 для разыменования массива, возвращаемого функцией.)

  Или же вы можете настроить PDO для генерации исключений, чтобы не не надо проверять.

  $link->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  

Я подозреваю, что вы действительно немного переборщили с белым списком. И не только с вайтлистингом, но даже с готовыми выписками. И чтобы удовлетворить свои неправильные взгляды, вы переделали свой запрос до совершенно непонятного беспорядка.

Вам нужно понять, что любое постоянное значение является безопасным по своей сути. Таким образом, нет абсолютно никакого смысла использовать для него ни вайтлистинг, ни подготовленные операторы.

Итак, вместо

AND " . $field[3] . " = :m_act

вы должны написать просто

AND versions.active = 'Y'

без какой-либо привязки или внесения в белый список.

Все, что вам нужно защитить, — это только динамические значения. Таким образом, вы должны использовать подготовленные операторы только для $arr_i и $arr_k. Все остальные части запроса должны быть записаны непосредственно в запрос, как вы делали это раньше.