sql - SQLパラメータ化とエスケープ

Question

選択した言語/データベースにユーザー入力をエスケープする組み込み関数（たとえば、mysql_real_escape_string）がある場合、SQLパラメーター化の引数は何ですか？mysql_real_escape_stringは、ある時点で、アプリケーションを脆弱なままにする可能性がありますか？

パラメータ化を使用するのは、それがより良い方法であると言われた/読んだことがあるからですが、盲目的にフォローしたいだけではありません。何か洞察はありますか？ありがとう！

Answer 1

パラメータ化の引数はperformanceです。

次の文を数回実行する場合:

insert into table (col1, col2) values (?, ?);

クエリは 1 回だけ評価 (解析、計画分析、および計算) され、何度も実行されるため、パラメーターを使用することをお勧めします。