Jeans CMS 製作日記 自分のための次世代CMS製作メモ

RSSフィードで購読なさっている方へ：アンケートにご協力お願いできますでしょうか。

Jeans CMSにおいては、いくらか規約を設けることでセキュリティーを確保する予定です。ただ、規約があまりにも複雑で敷居が高すぎる場合、その規約が守られないことになってしまいます。過ぎたるは及ばざるが如しにならないように、うまく規約を設定する必要があります。

SQLインジェクションを防ぐため、SQLクエリー実行部分のスクリプトの記述に関して規約を作る必要があるのですが、ここでプリペアードステートメントを使用することを規約とするかどうか、悩んでいます。

例えば、次のスクリプトは、現在のNucleusで使われている様式です。

コード０：現在のNucleus様式

$res=mysql_query(
    'SELECT i.itime as itime, c.cblog as blogid, substr(i.itime,0,4) as year, substr(i.itime,5,2) as month, substr(i.itime,8,2) as day, '.
    'FROM jeans_item as i, jeans_category as c '.
    'WHERE i.icat=c.catid AND c.cblog='.intval($blogid).' '.
    ' AND c.catid='.intval($catid).' '.
    'ORDER BY i.itime DESC LIMIT '.intval($limit));

今のJeansの様式では、２通りの記述の仕方があります。

コード１：Jeans様式１

$res=sql::query(
    'SELECT i.itime as itime, c.cblog as blogid, substr(i.itime,0,4) as year, substr(i.itime,5,2) as month, substr(i.itime,8,2) as day, '.
    'FROM jeans_item as i, jeans_category as c '.
    'WHERE i.icat=c.catid AND c.cblog=<%1%> '.
    ' AND c.catid=<%2%> '.
    'ORDER BY i.itime DESC LIMIT <%3%>',
    array($blogid,$catid,$limit));

コード２：Jeans様式２

$res=sql::query(
    'SELECT i.itime as itime, c.cblog as blogid, substr(i.itime,0,4) as year, substr(i.itime,5,2) as month, substr(i.itime,8,2) as day, '.
    'FROM jeans_item as i, jeans_category as c '.
    'WHERE i.icat=c.catid AND c.cblog=<%blogid%> '.
    ' AND c.catid=<%catid%> '.
    'ORDER BY i.itime DESC LIMIT <%limit%>',
    array('blogid'=>$blogid,'catid'=>$catid,'limit'=>$limit));

現在導入を検討中のPDO (PHP Data Object)は、プリペアードステートメントを実装しているのですが、これを用いて記述すると、例えば次のような感じになります。

コード３：PDO様式１

$sth=sql::prepare(
    'SELECT i.itime as itime, c.cblog as blogid, substr(i.itime,0,4) as year, substr(i.itime,5,2) as month, substr(i.itime,8,2) as day, '.
    'FROM jeans_item as i, jeans_category as c '.
    'WHERE i.icat=c.catid AND c.cblog=? '.
    ' AND c.catid=? '.
    'ORDER BY i.itime DESC LIMIT ?');
$sth->execute(array($blogid,$catid,$limig));

コード４：PDO様式２

$sth=sql::prepare(
    'SELECT i.itime as itime, c.cblog as blogid, substr(i.itime,0,4) as year, substr(i.itime,5,2) as month, substr(i.itime,8,2) as day, '.
    'FROM jeans_item as i, jeans_category as c '.
    'WHERE i.icat=c.catid AND c.cblog=:blogid '.
    ' AND c.catid=:catid '.
    'ORDER BY i.itime DESC LIMIT :limit');
$sth->bindParam(':blogid', $blogid);
$sth->bindParam(':catid', $catid);
$sth->bindParam(':limit', $limit);
$sth->execute();

ここで質問です。もし、上記のコード０ではなくて、コード１からコード４までのいずれかを用いることを規約とした場合、プラグインを作成するときにその規約を守りますか？あるいは、規約は守らずに、コード０のように記述しますか？

解答例　コード１もしくはコード３なら良いが、コード２やコード４は良く分からないので使わない場合は、１：○　２：×　３：○　４：×

解答は、下のコメントにお願いします。氏名欄は、『アンケート』で結構です。プリペアードステートメントが何なのかを理解する必要はありません。むしろ、これを良く知らない人のご意見が知りたいです。プロの方や良くご存知の方は、当然ながら積極的に使おうとなさると思いますので。

よろしくお願いします。