mysql (i) _real_escape_string, an toàn để dựa vào?

Sử dụng các thông số liên kết thì không quá mức cần thiết và nên được yêu cầu. Nó sẽ thoát và chuẩn bị các thông số của bạn một cách hiệu quả hơn.

$stmt = mysqli_prepare($link, "INSERT INTO CountryLanguage VALUES (?, ?, ?, ?)");
mysqli_stmt_bind_param($stmt, 'sssd', $code, $language, $official, $percent);

$code = 'DEU';
$language = 'Bavarian';
$official = "F";
$percent = 11.2;

/* execute prepared statement */
mysqli_stmt_execute($stmt);

Điều đó có thực sự không có vẻ như quá mức cần thiết?

Tài liệu