このカスタムMySQLiエスケープPHP関数の使用に何か問題はありますか？

Question

MySQLiを使って文字列をエスケープするための基本的なラッパー関数を書きました。これを使用すると何か問題はありますか？元のものよりも良いですか？それは役に立ちますか？

この関数は、MySQLi接続である$connとエスケープする文字列である&$varの2つの引数をとります。

function escapestr($conn, &$var){ 
    $var = $conn->real_escape_string($var); 
    return $var; 
} 

使用法：

$conn = mysqli_connect("localhost", "username", "password", "my_favourite_db"); 
$userInput = $_GET["input"]; // value: this is my "inputted" string 
$userInput = escapestr($conn, $userInput); // value: this is my \"inputted\" string 

それとも、それは直接変数を更新することができます。

$conn = mysqli_connect("localhost", "username", "password", "my_favourite_db"); 
$userInput = $_GET["input"]; // value: this is my "inputted" string 
escapestr($conn, $userInput); // value: this is my \"inputted\" string 

Answer 1

これを使用してに何か問題はありますか？

はい。ホイールを再作成する代わりにprepared statements（パラメータ化された文またはパラメータ化されたクエリ）を使用する必要があります。

オリジナルよりも優れていますか？

あなたがしたことはすべて、関数に関数をラップすることでした。これが有用な場所は時々ありますが、これはひとつではありません。

有用でしょうか？

ん