phpPDO中exec函數(shù)怎么防止sql注入，需要提前prepare嗎？我看到$pdo防sql注入是先prepare再excute，比如查詢操作和插入操作，數(shù)據(jù)都是前臺提交過來的$sql="selectpid,id,time,name,pl,znum,cnumfromtestwhereaid=?andstatus=1orderbyiddesc";$pdo->prepare($sql);$pdo->execute(array($_POST['aid']));.....這種沒問題，但是這種$sql="insertintotest(aid,pid,time,name,pl,ip)values({$res['aid']},{$res['pid']},".time().",'".$res['nc']."','".$res['nr']."','{$ip}')";$pdo->exec($sql);如果如上執(zhí)行，怎么防止SQL注入，在沒個POST參數(shù)上面加quote()嗎？exec可以先prepare嗎？