SQL參數化與轉義

Question

如果您選擇的語言/數據庫具有用於轉義用戶輸入的內置函數（例如mysql_real_escape_string），那麼SQL參數化的參數是什麼？有可能mysql_real_escape_string在某些時候可能使應用程序易受攻擊？

我使用參數化，因爲我已經被告知/已經閱讀它是更好的方式去，但我不只是盲目追隨。任何見解？謝謝！

Answer 1

參數設置的參數是性能。

如果你要執行下面的句子幾次：

insert into table (col1, col2) values (?, ?); 

這是更好地使用參數，因爲查詢會只進行評估（分析，計劃，分析和計算）一次，並且會執行很多次。