SELECT * FROM tabela WHERE login_id = '1'
Używam ORM ale zaawansowane zapytania wykonuję czystym SQL-em i chciałem przyjąć w moim projekcie jednolitą regułę. Skłaniam się ku ich stosowaniu ponieważ gdybym zapomniał mapować zmienną z GET-a na (int) to zawsze dodatkowo cudzysłów ochroni mnie przed SQL Injection a bez tego zapytanie przyjęło by postać dowolną np:
SELECT * FROM tabela WHERE login_id = 1 OR 2
Czy jednak cudzysłów jednak dobrze jest interpretowany przez silnik bazy i nie spowalnia zapytania?
Czy może standardy mówią też coś na ten temat czy jest całkowita dowolność?