我应该使用 mysqli_real_escape_string 还是应该使用准备好的语句？

Question

我应该使用mysqli_real_escape_string还是应该使用准备好的语句？

我现在已经看到一个教程解释准备好的语句，但我看到它们做了同样的事情，mysqli_real_escape_string但它使用了更多行

准备好的报表有什么好处吗？您认为最好的使用方法是什么？

Answer 1

仅准备好的陈述。因为无处可逃是同一回事。事实上，逃逸与任何注射完全无关，也不应该用于保护。

虽然准备好的声明在适用时可提供 100% 的安全性。

Answer 2

使用prepared statements，因为使用此后您不必使用 mysqli_real_escape_string. prepared statements默认情况下这样做。