Comme le dit Yohann, c'est en réalité parce qu'une requête préparée est compilée et qu'on lui passe des arguments ensuite. Le fait qu'elle soit compilée avant d'être exécutée fait que sa structure n'est plus modifiable au moment où on l'exécute, donc qu'on ne peut plus faire d'injection SQL dessus.
EDIT: et ça explique également pourquoi l'exécution (après compilation) est plus rapide et qu'on puisse réutiliser la requête préparée plusieurs fois avec différents arguments.
[^] # Re: FizzBuzz
Posté par chinoisfurax . En réponse au journal Développeur, ou comment sur-évaluer ses compétences. Évalué à 1. Dernière modification le 22 novembre 2013 à 09:48.
Comme le dit Yohann, c'est en réalité parce qu'une requête préparée est compilée et qu'on lui passe des arguments ensuite. Le fait qu'elle soit compilée avant d'être exécutée fait que sa structure n'est plus modifiable au moment où on l'exécute, donc qu'on ne peut plus faire d'injection SQL dessus.
EDIT: et ça explique également pourquoi l'exécution (après compilation) est plus rapide et qu'on puisse réutiliser la requête préparée plusieurs fois avec différents arguments.