PHPプリペアドステートメントで "mysqli_real_escape_string"を使用するには？私はPHPプリペアドステートメントを使用しています

Question

はをmysqliのが、私は、コード

mysqli_real_escape_string 

どのように私はPHPプリペアドステートメントのmysqliの中で上記のコードを使用することができます下に見つけることができません。* が、それはこのようなものです？

$stmt->escape_string 

Answer 1

準備クエリ（適切に使用されている場合）は、安全なクエリのためにデータが適切にエスケープされるため、mysqli_real_escape_stringをまったく使用する必要はありません。あなたはそれらを適切に使用しているのですが、ちょっとした変更が必要です。あなたは '？'プレースホルダを使用する場合は、executeメソッドを使用してparamsを渡す方が適切です。

$ sql-> execute（array（$ test））;

これをページに出力する場合は注意してください。データベースのサニタイズは、HTML内での表示が安全であるとは限りません。そのため、htmlspecialchars（）も実行してください。 ここにこの質問へのリンクがありますprepared statements and real_escape_string

Answer 2

コミュニティウィキとしての投稿。私はこれを担当したくない。

mysqli_real_escape_string()との両方を使用することには意味がありません。

どちらか一方です。

MySQLi_の使用に関するマニュアルを読むには、ステートメントを準備：

• http://php.net/manual/en/mysqli.quickstart.prepared-statements.php

しかし...あなたが同じインスタンスのためだけではない、両方一緒に、両方を使用することができます。

• これらのすべてについて準備された声明に固執すれば、あなたの世界はより良い場所になります。