준비된 진술은 PHP에서 `mysql_real_escape_string()`의 필요성을 제거합니까?

Prepared 문 및 이스케이프: 균형 조정

PHP에서 준비된 문을 사용할 때 이를 방지하기 위해 mysql_real_escape_string()을 사용해야 합니까? SQL 주입? 이 질문에 답하기 위해 특정 쿼리와 그 구현을 살펴보겠습니다.

쿼리 및 구현

<code class="php">$consulta = $_REQUEST["term"] . "%";

$sql = $db->prepare('select location from location_job where location like ?');

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);

$data = array();

while ($sql->fetch()) {
    $data[] = array('label' => $location);
}
?>

**The Dilemma**

The provided query aims to fetch locations that match the term entered in the $_REQUEST["term"] variable. While the usage of a prepared statement is commendable for preventing SQL injections, the implementation raises a query: is mysql_real_escape_string() still necessary in this case?

**The Verdict: No, but a Refinement is Suggested**

When using prepared statements, as long as they are employed correctly, they effectively shield against SQL injections. In this instance, mysql_real_escape_string() is redundant. However, a minor improvement can enhance the code's clarity and efficiency.

Rather than using bind_param('s', $consulta), it's more straightforward to pass parameters through the execute method, especially when utilizing the '?' placeholder. The updated code would be:
</code>

$sql->execute([$consulta]);

중요한 이유

매개변수 바인딩이 포함된 준비된 명령문은 외부 데이터가 SQL 쿼리를 조작할 수 없도록 보장합니다. 그러나 SQL 매개변수 바인딩만으로는 HTML 내에서 안전한 표시가 보장되지 않는다는 점을 기억하십시오. 이를 위해서는 쿼리 결과를 출력하기 전에 htmlspecialchars()와 같은 기능을 사용하는 것이 중요합니다.

위 내용은 준비된 진술은 PHP에서 `mysql_real_escape_string()`의 필요성을 제거합니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!