Ai-je besoin de `mysql_real_escape_string()` avec les instructions préparées ?

La fonction mysql_real_escape_string() est-elle requise avec les instructions préparées ?

Lors de l'utilisation d'instructions préparées comme dans la requête donnée :

<code class="php">$sql = $db->prepare('select location from location_job where location like ?');

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);</code>

La fonction mysql_real_escape_string() n'est pas nécessaire car les instructions préparées fournissent un moyen sécurisé d'empêcher les attaques par injection SQL en échappant à tout caractère spécial dans l'entrée.

Une suggestion pour améliorer la requête est d'utiliser le ' ?' espace réservé, vous permettant de transmettre les paramètres plus facilement via la méthode d'exécution :

<code class="php">$sql->execute([$consulta]);</code>

Cependant, assurez-vous de nettoyer les entrées de l'utilisateur à l'aide de htmlspecialchars() avant de les afficher pour éviter les vulnérabilités de scripts intersites.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!