准备好的语句是否需要 mysql_real_escape_string() 函数？

当使用给定查询中的准备好的语句时：

$sql = $db->prepare('select location from location_job where location like ?');

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);

mysql_real_escape_string() 函数不是必需的，因为准备好的语句提供了一种通过转义输入中的任何特殊字符来防止 SQL 注入攻击的安全方法。

改进查询的一个建议是使用“？”占位符，使您能够更方便地通过执行方法传递参数：

$sql->execute([$consulta]);

但是，请确保使用 htmlspecialchars 清理用户输入() 在显示之前防止跨站脚本漏洞。