使用預準備語句時，mysql_real_escape_string（）是否必要？

Question

對於此查詢，是否需要使用mysql_real_escape_string？

任何改進或查詢都很好嗎？

$consulta = $_REQUEST["term"]."%"; 

($sql = $db->prepare('select location from location_job where location like ?')); 

$sql->bind_param('s', $consulta); 
$sql->execute(); 
$sql->bind_result($location); 

$data = array(); 

while ($sql->fetch()) { 
    $data[] = array('label' => $location); 
} 

的查詢速度在這種情況下非常重要。

Answer 1

不，準備好的查詢（正確使用時）將確保數據妥善轉義以進行安全查詢。你恰當地使用它們，只需要改變一件小事。因爲你正在使用'？'佔位符，最好通過執行方法傳遞參數。

$sql->execute(array($consulta));

只是要小心，如果你是輸出到您的網頁，數據庫消毒並不意味着它會是安全的內HTML顯示，所以在其上運行的htmlspecialchars（）爲好。