La fonction mysql_real_escape_string() est-elle requise avec les instructions préparées ?

Lors de l'utilisation d'instructions préparées comme dans la requête donnée :

$sql = $db->prepare('select location from location_job where location like ?');

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);

la fonction mysql_real_escape_string() n'est pas nécessaire car les instructions préparées fournissent un moyen sécurisé d'empêcher les attaques par injection SQL en échappant à tout caractère spécial dans l'entrée.

Une suggestion pour améliorer la requête est d'utiliser le '?' espace réservé, vous permettant de transmettre les paramètres plus facilement via la méthode d'exécution :

$sql->execute([$consulta]);

Cependant, assurez-vous de nettoyer les entrées de l'utilisateur à l'aide de htmlspecialchars () avant de l'afficher pour éviter les vulnérabilités de script intersite.