PDO e Inyección SQL

[RodrigoG]

Hola comunidad!

Por ahí leí que PDO evita el SQL Injection, pero no sé como, tengo tres ejemplos inspirados en los del manual PHP que permiten hacer consultas con PDO, ¿Cuál de todos me evita la inyección SQL?
Desde ya muchas gracias

Forma 1 (con array):

Código PHP:

<?php
/* Execute a prepared statement by passing an array of values */
$sql = 'SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour';
$sth = $dbh->prepare($sql, array(PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY));
$sth->execute(array(':calories' => $_GET['calorias'], ':colour' => $_GET['color']));
// Imprimir el resultado.
print_r($sth->fetchAll());
?>
 

Forma 2 (bindParam):

Código PHP:

<?php
/* Execute a prepared statement by binding PHP variables */
$sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour');
$sth->bindParam(':calories', $_GET['calorias'], PDO::PARAM_INT);
$sth->bindParam(':colour', $_GET['color'], PDO::PARAM_STR, 12);
$sth->execute();
// Imprimir el resultado.
print_r($sth->fetchAll());
?>
 

Forma 3 (bindValue)

Código PHP:

<?php
/* Execute a prepared statement by binding PHP variables */
$sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour');
$sth->bindValue(':calories', $_GET['calorias'], PDO::PARAM_INT);
$sth->bindValue(':colour', $_GET['color'], PDO::PARAM_STR);
$sth->execute();
// Imprimir el resultado.
print_r($sth->fetchAll());
?>
 

Aclarando que $_GET['calorias'] y $_GET['color'] son recogidas de un formulario sin mas.

[GatorV]

Los 3, ya que precisamente demuestran como usar named parameters para escapar las variables, lo que tendrías que agregar a eso es limpiar tus variables contra ataques XSS.

Saludos.

[RodrigoG]

Perfecto!
Gracias, al menos XSS es más fácil con strip_tags u algo más elaborado.

Estoy haciendo una clase para conectarse a PDO, si todo va bien la pongo hoy en la tarde para oír sugerencias.

Saludos.