Ist die Funktion mysql_real_escape_string() für vorbereitete Anweisungen erforderlich?

Bei Verwendung vorbereiteter Anweisungen wie in der angegebenen Abfrage:

$sql = $db->prepare('select location from location_job where location like ?');

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);

Die Funktion mysql_real_escape_string() ist nicht erforderlich, da vorbereitete Anweisungen eine sichere Möglichkeit bieten, SQL-Injection-Angriffe zu verhindern, indem alle Sonderzeichen in der Eingabe maskiert werden.

Ein Vorschlag zur Verbesserung der Abfrage besteht darin, das „?“ zu verwenden. Platzhalter, der es Ihnen ermöglicht, Parameter bequemer über die Ausführungsmethode zu übergeben:

$sql->execute([$consulta]);

Stellen Sie jedoch sicher, dass Benutzereingaben mit htmlspecialchars bereinigt werden () vor der Anzeige, um Cross-Site-Scripting-Schwachstellen zu verhindern.