Petite question, est-ce qu'en PDO mettre un DESC dans le contenu d'une variable qu'on injecte (voir exemple en dessous), c'est une bonne pratique ? Parce que pour moi le but des requêtes préparées c'est de ne pas pouvoir ajouter de mots clés SQL...

$toto = 'field DESC';
$query=$db->prepare('SELECT * 
FROM table
WHERE fk_smth = 12
ORDER BY :toto');
$query->bindValue(':toto', $toto,PDO::PARAM_INT);
$query->execute();
$data_proposition=$query->fetch();

Ce n'est pas prévu pour ça

Yep , mais je peux les utiliser sans soucis ou je risque d'avoir des comportements bizarre ?

Non c'est pas une bonne pratique. Si ça marche c'est assez étonnant d'ailleurs parce que ça ne devrait pas.

Le binding de paramètres dans une requête préparée est à réserver aux valeurs, pas au noms de colonnes ou à des options comme ASC ou DESC.

Pour ces derniers on préfère la concaténation avec validation préalable, un truc comme :

$sorting = 'ASC';
if (isset($_GET['desc']) {
  $sorting = 'DESC';
}
$query = 'SELECT * FROM ... WHERE xxx = :value ORDER BY ... ' . $sorting;

Bien évidemment le set de valeurs doit être limité (ici ASC/DESC) ou vérifié (dans le cas d'un tri par colonnes pouvant être renseigné par l'utilisateur par exemple) pour éviter des injections SQL. Mais utilisé la paramétrisation pour ça c'est pas adapté car pas du tout portable (et à ma connaissance pas supporté, si tu as réussi à le faire marcher sous cette forme je veux bien savoir quelle base tu as utilisé)

En fait ça fonctionne dans son code car il a bindé la valeur en integer donc les quotes n'ont pas été injectées. Je suppose qu'il tourne avec MySQL ou MariaDB, c'est tout sauf portable en tout cas et clairement sale.

Ah bien vu, j'avais pas fait gaffe au binding en int, ça doit jouer dans le truc, mais ça ressemble limite plus à une implé chelou qu'à autre chose, clairement à éviter