使用准备好的语句时，是否有理由在$ _GET或$ _POST变量上使用（mysqli_real_escape_string）进行清理？

Question

$name = mysqli_real_escape_string($connection, $name);

还是可以吗？

$name = $_GET["name"];

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name);

$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
  // do something with $row
}

Answer 1

不。您最终将两次转义。 绑定参数是手动转义的替代。

Answer 2

不，您不必。 准备工作已经为您做好了一切。