MySQL Einfügen von nicht vertrauenswürdigen Daten

Question

Ich sehe eine Menge Post über das Einfügen in MySQL-Datenbank. Die große Menge von ihnen scheint zu vergessen, dass es sich um Benutzereingaben handelt. Am besten wäre es, Daten in die Tabelle einzufügen. Würde mysqli_real_escape_string in Ordnung sein? Oder wäre die Verwendung vorbereiteter Aussagen eine bessere Option, vielleicht beides?

Answer 1

mysqli_real_escape_string ist gut, aber nicht immer sicher wie vorbereitete Aussage.

mysql_real_escape_string() anfällig für die gleiche Art von Problemen, die addslashes() beeinflussen.

So verwenden Sie vorbereitete Anweisung ist viel besser.