问OOP安全性/验证是在方法内部还是外部？

EN

这在某种程度上取决于您的数据处理架构的类型，但是...

通常，将数据插入数据库的类(让我们称它们为持久性类)应该执行SQL转义。如果值必须是特定类型(例如，VARCHAR，INT)，它也可以验证这些，或者让数据库为不正确的数据类型抛出一个错误。

对于更具体的验证，将其包含在域模型或处理直接输入的其他代码中可能是一个好主意(例如，GET和POST)。

如果您使用域模型对象，它们应该包含一个可用于确保它们有效的方法，或者根据模型的要求，它们不应该接受无效的数据。然后，持久化类可以简单地处理域对象，或者通过域对象的存储库。

在一个更简单的场景中，您只有一个具有较少独立层的脚本，数据验证可能应该在脚本将数据移交给持久性类之前完成。(如果您很好奇，在PoEAA中这可能是最接近事务脚本模式的)

我认为在将数据传递给持久性方法之前，应该对其进行验证。

转义应该是持久性方法实现的一部分，使用准备好的语句。

身份验证和授权的安全问题是交叉关注点。如果你的语言支持它们，它们就属于方面。