php - SQL 値をエスケープするには、開いている接続が必要なのはなぜですか?

Question

わかりやすくするために、なぜmysqli_real_escape_string読まなければならないのか誰でも説明できますか？

$query = mysqli_real_escape_string($conn,"SELECT * FROM tbl");

だけでなく:

$query = mysqli_real_escape_string("SELECT * FROM tbl");

助けてくれてありがとう！

Answer 1

文字セットエンコーディングのため。

がないと$conn、mysqli_real_escape_string()接続で使用されている文字エンコーディングを検出できず、一般的な危険な文字をやみくもにエスケープしようとします。

真の (エミュレートされていない) 準備済みステートメントは、接続ではなく列の文字エンコーディングを考慮に入れるため、さらに優れています (または、必要に応じてより安全です) 。