Declaración preparada por PDO, ¿utilizada correctamente?

Question

Solo necesito asegurarme de que tengo las declaraciones de preparación de PDO correctamente, ¿será seguro el siguiente código con SQL Injection?

$data['username'] = $username; 
$data['password'] = $password; 
$data['salt'] = $this->generate_salt(); 
$data['email'] = $email; 

$sth = $this->db->prepare("INSERT INTO `user` (username, password, salt, email, created) VALUES (:username, :password, :salt, :email, NOW())"); 
$sth->execute($data); 

Answer 1

Sí, su código es seguro. Sin embargo, se puede acortar:

$data = array($username, $password, $this->generate_salt(), $email); 

// If you don't want to do anything with the returned value: 
$this->db->prepare(" 
    INSERT INTO `user` (username, password, salt, email, created) 
    VALUES (?, ?, ?, ?, NOW()) 
")->execute($data); 

Answer 2

Se podría empezar con una matriz vacía para su $data como

// start with an fresh array for data 
$data = array(); 

// imagine your code here 

Su código se ve bien hasta ahora.

EDITAR: Me perdí tu llamada NOW(). También debería agregarlo con una variable de vinculación, como

// bind date 
$data['created'] = date("Y-m-d H:i:s"); 

// updated prepare statement 
$sth = $this->db->prepare("INSERT INTO `user` (username, password, salt, email, created) VALUES (:username, :password, :salt, :email, :created)");