준비된 문에 mysql_real_escape_string() 함수가 필요합니까?

주어진 쿼리와 같이 준비된 문을 활용하는 경우:

$sql = $db->prepare('select location from location_job where location like ?');

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);

mysql_real_escape_string() 함수는 준비된 문이 입력 내의 특수 문자를 이스케이프하여 SQL 주입 공격을 방지하는 안전한 방법을 제공하므로 필요하지 않습니다.

쿼리 개선을 위한 한 가지 제안은 '?' 자리 표시자를 사용하면 실행 메소드를 통해 매개변수를 보다 편리하게 전달할 수 있습니다.

$sql->execute([$consulta]);

그러나 htmlspecialchars를 사용하여 사용자 입력을 삭제해야 합니다. ()를 표시하기 전에 크로스 사이트 스크립팅 취약점을 방지합니다.