prepare

articles/cs_http.md

@@ -303,6 +303,9 @@ Authorization: Basic esmirnov 111103
                 // тут пишем запрос вставки данных в таблицу 
                 // к полям объекта JSON можно обращаться так: $json->Title, ...
 
+                $query = $this->db->prepare("INSERT INTO ProductSale (SomeName) VALUES (:SomeName)");
+                $query->execute([':SomeName'=>$json->Title]);
+
                 $this->response['status'] = 0;
 
                 break;
@@ -311,4 +314,6 @@ Authorization: Basic esmirnov 111103
                 header("HTTP/1.1 404 Not Found");
         }
     }
-    ```
+    ```
+
+    При формировании SQL-запроса нужно экранировать значения, PDO может это сделать за нас. Для этого сначала нужно "подготовить" запрос, выполнив метод **prepare**, в котором вместо реальных значений пишутся алиасы (символьное имя с каким-либо префиксом). А затем, при выполнении подготовленного запроса передаётся ассоциативный массив "алиас"=>"значение".