プリペアドステートメントとSQLインジェクション

Question

私はリプライチケットシステムを作成中です。 mysqli_real_escape_stringを使用しているので、返信テキストにバックスラッシュが追加されています。私は準備文とbind_paramを使用しているので、mysqliエスケープ文字列を削除しても安全ですか？またはそれはSQLインジェクションのためにそれを開きますか？ありがとう!!

Answer 1

シンプルな答えは、ノー。 SQLインジェクションには、クエリの一部の値ではなくSQLコントロール自体の一部として使用される文字列の入力が含まれます。クエリをパラメータ化することによって、* _escape_string呼び出しで保護されたケースをカバーし、より安全です。