Quería saber si con su experiencia me podrían decir si esta consulta es segura ante inyección de código.
$sql='UPDATE mano_de_obra SET
detalle=:detalle,monto=:monto,usuario=:usuario
WHERE proforma = :proforma AND codigo_auto=:codigo_auto';
$row=$this->pdo->prepare($sql)
->execute(array(
':proforma' =>$this->datos[0],
':codigo_auto' =>$this->datos[1],
':monto' =>$this->datos[2],
':detalle' =>$this->datos[3],
':usuario' =>$this->usuario));
header("location: crear-facturas-venta.php?prof=".$this->datos[0]."");
exit;
$this
?$this->pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false);
esto hace que el prepare mande el sql con placeholders al motor de base de datos (que crea un objeto) y luego el execute envía los parametros. no hay posibilidad de inyectar (nuevo) sql pues en el servidor ya es un objeto/función que sólo recibe parámetros