如何在PHP准备语句中使用“mysqli_real_escape_string”？

Question

我正在使用PHP准备语句mysqli，但是我在下面的代码中找不到

mysqli_real_escape_string

如何在PHP准备语句中使用上面的代码mysqli .*是这样吗？

 $stmt->escape_string

Answer 1

准备好的查询(如果使用得当)将确保数据被正确转义以进行安全查询，因此您根本不需要使用mysqli_real_escape_string。你在适当地使用它们，只需要改变一件小事情。因为你用的是“？”占位符，最好通过execute方法传递params。

$sql->execute(数组($test))；

如果您将其输出到您的页面，那么要小心，数据库清理并不意味着它在HTML中显示是安全的，所以也在上面运行htmlspecialchars()。这里是string的这个问题的链接

Answer 2

作为一个社区维基发布。我不想为这事做代表。

使用mysqli_real_escape_string() 和这两个预先准备好的语句是没有意义的。

是一个还是另一个。

阅读关于使用MySQLi_准备语句的手册：

• http://php.net/manual/en/mysqli.quickstart.prepared-statements.php

但是..。您可以同时使用这两种方法，但不能同时用于同一实例。

• 只要坚持给他们准备好的陈述，你们的世界就会变得更好。