使用mysqli的预处理语句及参数绑定就可以避免sql注入了么？

Question

这种情况下，还需要用mysqli_real_escape_string()及其它函数吗？

Answer 1

是的. 不需要.

Answer 2

那叫参数化查询。其实最早参数化查询设计出来不是为了防止sql注入的

Answer 3

预处理查询是解决sql注入的银弹