PDO / mysql_real_escape_string

Вроде бы для этого надо юзать prepare()

Возможно. И что это решит?

Скажем на HTML (переведу к едрене м. все на markdown) можно натравить kses, safehtml, htmlpurifer.

Голое текстовое поле или текстареа понапихать можно всякого.

Можно и на такое filter_var, например, накинуть. Да и по старинке sprintf написать.

Но вот глянуть классы валидации/санитизации от Drupal, WP, Contao, TYPO3 до фреймворков всяких - они чем занимаются? Было бы все так просто.

Кстати, мануал был давно и полностью прочитан. Тамошние комменты также. Убогие они. У них там практически бодаются с селектами. А славянские парни горазды что-то в инсерт всадить :) дополнительно, так сказать, в нагрузку. И чтобы веб-мастер свистнул, как та японская пила.

Правильно делать это так,

$query = $db->prepare('
                              SELECT *
                              FROM :nameoftable
;');

$query->execute([
                             ':nameoftable' => 'table'
]);

где, :nameoftable - входящий параметр, а его значение передается в массиве при вызове execute();

PDO:prepare решит то, что входящие данные будут фигурировать в SQL запросе, как входящие данные, а не составная запроса. PDO:prepare гарантирует только это, но не валидность входящих данных. Входящие данные нужно проверять отдельно от SQL запроса. И если в проверку входит экранирование специальных символов, и используется только одна СУБД, плюсов от использования PDO, я не вижу, а минусы есть - производительность и синтаксис.

Для новых проектов на MySQL, PHP рекомендует использовать MySQLi класс.

решит всё, что нужно.

защита от инъекций предоставляется.

валидация данных - дело юзера и конкретной задачи.

не верю. иначе вы бы получили ответ на свой вопрос:

Спасибочки всем.

Буду думать быстро.