htmlspecialchars或mysql_real_escape_string？

Question

我不確定在這種情況下使用哪一個？

$query1 = "SELECT * FROM messages WHERE 
messages.custid='".htmlspecialchars($_SESSION['customerid'])."' 
ORDER BY messages.id LIMIT $start, $limit "; 

Answer 1

使用mysql_real_escape_string。但說真的，不這樣做，

代替，安裝梨的PDO庫中，然後用prepared statement爲您查詢

Answer 2

mysql_real_escape_string（）被用於特別是具有MySQL表製作，如名稱所示;-)