这个php / mysql表达式（设置连接的时区）是否足够安全？

Question

这个表达式是安全的还是这种方法有漏洞？

$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'password');
$pdo->exec('SET time_zone = "' . date_default_timezone_get() . '"');

Answer 1

我会首先检查date_default_timezone_get()是否返回有效值，以避免类似SET time_zone = ""之类的查询。