int valueにmysqli_real_escape_stringを使用するには？

Question

私はこれを持っています$ search = mysqli_real_escape_string（$ conn、$ _ POST ['search']）; これをintに変換できるかどうかを知りたいので、SQLインジェクションを避けるための安全なオプションになります。

$ sql = "SELECT * FROM basket WHERE quantity = $ search";

**ここでの量は、厳密に言えば、(int)またはintval()で変数をキャストSQLインジェクションを引き起こし、その変数のリスクを取り除き、

Answer 1

はいintです。

しかし、これはクエリパラメータを使用しないようにする理由がありません。

SQL文と結合するには、文字列と整数の両方の変数が必要です。タイプによっては、変数を安全にするさまざまな方法を使用するためにコードが複雑になります。すべての変数にクエリパラメータを使用するだけで、コードが簡単になります。

正しく入力してください。