PDO и sql инъекции - PHP БД

Изучаю PDO и защиту от инъекций. Как понял если использовать для вставки в БД данных prepare, то инъекции будут исключены. я правильно это понял?

читая эту статью http://ruseller.com/lessons.php?id=610&rub=28 сделал метод, и по идее эта вставка защищена от инъекций, так?

PHP:

1. public function create($name, $tablename) {
2.         $tablename = DB_PREFIX . $tablename;
3.         $fields = $_POST[$name];
4.         foreach ($fields as $key => $value) {
5.             if ($key != 'load') {
6.                 $rows[] = "`" . $key . "`";
7.                 $values[] = "?";
8.                 $data[] = $value;
9.             }
10.         }
11.         $rows = implode(',', $rows);
12.         $values = implode(',', $values);
13.         $db = db::getDB();
14.         $sql = "INSERT INTO `$tablename` ($rows) VALUES ($values)";
15.         $st = $db->prepare($sql);      
16.         return $st->execute($data);
17.     }

использую в этом методе из той статьи

# неименованые шаблоны
$STH = $DBH->("INSERT INTO folks (name, addr, city) values (?, ?, ?);

Или лучше использовать именованный шаблон?

PHP:

1. public function create($name, $tablename) {
2.         $tablename = DB_PREFIX . $tablename;
3.         $fields = $_POST[$name];
4.         foreach ($fields as $key => $value) {
5.             if ($key != 'load') {
6.                 $rows[] = "`" . $key . "`";
7.                 $values[] = ":" . $key;
8.                 $data[$key] = $value;
9.             }
10.         }
11.         $rows = implode(',', $rows);
12.         $values = implode(',', $values);
13.         $db = db::getDB();
14.         $sql = "INSERT INTO `$tablename` ($rows) VALUES ($values)";
15.         $st = $db->prepare($sql);
16.         return $st->execute($data);
17.     }

 

т. е. в данном методе вставка в бд защищена от инъекций в обоих случаях, так?

 

там по такой системе работает.

например есть форма

HTML:

1. <form action="/auth" method="POST">
2.  
3. <input type="login" name="Reg[login]">
4. <input type="pass" name="Reg[pass]">
5.  
6. <input type="sumit" value="Добавить">
7.  
8. </form>

action обрабатывает контроллер, в методе которого обращаемся к методу модели описанного в первом сообщении

PHP:

1. $model->create("Reg","users")

Возможна ли в таком случае инъекция?

 

хз, prepare и все дела. вот и пытаюсь узнать так будет защищена или нет.

 

т.е. нужно тут проверять на инъекции?

PHP:

1. foreach($fieldsas$key=>$value){
2.            if($key!='load'){
3.                $rows[]="`".$key."`";
4.                $values[]=":".$key;
5.                $data[$key]=$value;
6.            }
7.        }

 

Спасибо!