Форум PHP

Потому, что проще запись, а метод сам каждый элемент массива сопоставит с метками. В описании PDO обо всем этом ведь сказано, не так много как хотелось бы, но вполне достаточно для уяснения.

Спасибо, а почему лучше?

код полностью безопасен. вместо

$stmt->bindParam(':firstname', $firstname);  $stmt->bindParam(':lastname', $lastname);  $stmt->bindParam(':email', $email);

лучше отдайте массив методу execute

Скажите, пожалуйста, на сколько данный код безопасен?

//Не именованные метки try { $stmt = $db->prepare("INSERT INTO test (label,color) VALUES (?,?)"); $stmt -> execute(array('perfect','green')); } catch(PDOException $e){ echo 'Error : '.$e->getMessage(); exit(); } //stmt - это "дескриптор состояния"   //Именованные метки $stmt = $db->prepare("INSERT INTO test (label,color) VALUES (:label,:color)"); $stmt -> execute(array('label'=>'perfect', 'color'=>'green'));   //Еще вариант $stmt = $db->prepare("INSERT INTO users (firstname, lastname, email) VALUES (:firstname, :lastname, :email)"); $stmt->bindParam(':firstname', $firstname); $stmt->bindParam(':lastname', $lastname); $stmt->bindParam(':email', $email); $firstname = "John"; $lastname = "Smith"; $email = "john@test.com"; $stmt->execute();

Ну в общем да, будет смотреть, значит и в prepare() воткнется, где и разъясняется интересуемое )

так никто и не говорит, что не использовать. речь то шла конкрентно про параметры

Если не использовать эмулированные подготовленные запросы, то получится деградация производительности.

Надо бы сказать, что сперва подготавливается запрос, а уже потом....

ВСЕ параметры, которые вы собираетесь использовать в запросах PDO, должны прогоняться через метод execute. забудьте о том строка это или число, просто возьмите за правило. и не имеет никакого значения откуда эти данные

Честно говоря сам не знаю, использовать is_numeric() безопасно непосредственно для $_POST? Перед самим добавлением цифр через PDO.