準備好的語句和SQL注入

Question

我正在創建一個回覆票系統，並且遇到了這個問題。由於我使用的是mysqli_real_escape_string，因此它在回覆文本中添加了反斜槓。由於我正在使用準備好的語句和bind_param，可以安全地刪除mysqli轉義字符串嗎？或者會打開SQL注入？謝謝！！

Answer 1

簡單的答案，沒有。 SQL注入包括輸入用作SQL控件本身的一部分的字符串，而不是查詢部分的值。通過參數化查詢，您基本上將變量覆蓋掉了，該變量覆蓋受* _escape_string調用保護的情況，並且更安全。