使用准备好的语句时是否需要 mysql_real_escape_string()？

Question

对于这个查询，有必要使用mysql_real_escape_string吗？

任何改进或查询都很好？

$consulta = $_REQUEST["term"]."%";

($sql = $db->prepare('select location from location_job where location like ?'));

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);

$data = array();

while ($sql->fetch()) {
    $data[] = array('label' => $location);
}

在这种情况下，查询速度很重要。

Answer 1

不，准备好的查询（如果使用得当）将确保正确转义数据以进行安全查询。您可以正确使用它们，只需要更改一点点即可。因为您使用的是“？”占位符，最好通过execute方法传递params。

$sql->execute(array($consulta));

如果你将它输出到你的页面要小心，数据库清理并不意味着它在 HTML 中显示是安全的，所以也要在它上面运行 htmlspecialchars()。