안녕하세요 초보개발자입니다.

지금 보안에 굉장히 민감한 프로젝트를 하고 있습니다.

개발단계에서 일단 SQL Injection은 원천봉쇄하기 위해서 pdo를 사용하게 됐습니다. prepared statement 기능 때문에요.

ci에서 pdo를 연동시키고 그냥 ci 메뉴얼대로 

$this->pdo = $this->load->database('pdo',true);

$stmt=$this->pdo->query('SELECT * FROM user_info' . $type);

var_dump($stmt->result());

이렇게 ci에서 다른 db드라이버 쓸때처럼 사용해도 아래와 같은 prepared statement 과정을 내부적으로 거치는 건가요?

$stmt = $mysqli->prepare("SELECT * FROM user_info WHERE type=?");

$stmt->bind_param("s", $_GET['type']);

$stmt->execute();

$stmt->bind_result($id, $description, $type);

출력결과는 이상 없는데 prepared statement 기능이 내부적으로 이뤄지는지 궁금해서 질문올립니다.

( 여기서 prepared statement의 기능에 대한 저의 초점은 sql injection를 차단해주는 기능입니다.)