De la mauvaise manière (Non sécurisé)

Nous avons déjà évoqué les failles permettant des injections SQL, et comme nous l’avons vu, cela se passe au moment où les données dynamiques sont passées en paramètres de la requête.

Voici donc un exemple à ne pas reproduire :

$query = $conn->prepare(
    "SELECT id, firstname, lastname FROM User WHERE email='$email'"
);
$query->setFetchMode(PDO::FETCH_ASSOC);
$query->execute();