php - このコードは SQL インジェクションに対してオープンですか?

Question

このコードが SQL インジェクションに対してオープンであるかどうか、またその理由を教えてください。

$x = $_REQUEST['id'];
$x = mysql_real_escape_string($x);
$del = "DELETE FROM Y WHERE id = ".$x;
mysql_query($del);

Answer 1

これは、x を引用しないためです。

次のような単純なものを使用することもできます。

sprintf("DELETE FROM Y WHERE id = %u", $x);

Answer 2

mysql_real_escape_string() を使用してエスケープするべきではありません