तैयार कथन का उपयोग करते समय mysql_real_escape_string() आवश्यक है?

Question

इस क्वेरी के लिए, mysql_real_escape_string का उपयोग करने के लिए आवश्यक है?

कोई भी सुधार या क्वेरी ठीक है?

$consulta = $_REQUEST["term"]."%"; 

($sql = $db->prepare('select location from location_job where location like ?')); 

$sql->bind_param('s', $consulta); 
$sql->execute(); 
$sql->bind_result($location); 

$data = array(); 

while ($sql->fetch()) { 
    $data[] = array('label' => $location); 
} 

इस मामले में क्वेरी गति महत्वपूर्ण है।

Answer 1

नहीं, तैयार प्रश्न (जब सही तरीके से उपयोग किया जाता है) यह सुनिश्चित करेगा कि सुरक्षित क्वेरीिंग के लिए डेटा ठीक से बच निकला है। आप उन्हें सही तरीके से उपयोग कर रहे हैं, बस एक छोटी सी चीज़ को बदलने की जरूरत है। क्योंकि आप '?' का उपयोग कर रहे हैं प्लेसहोल्डर, निष्पादन विधि के माध्यम से पैरा पास करना बेहतर है।

$sql->execute(array($consulta));

बस सावधान यदि आप अपने पृष्ठ के लिए कि outputting रहे हो, डेटाबेस सफ़ाई का अर्थ यह नहीं है कि यह HTML के भीतर प्रदर्शन के लिए सुरक्षित हो जाएगा, तो htmlspecialchars() इस पर साथ ही चलाते हैं।