¿Es necesario mysql_real_escape_string() al usar declaraciones preparadas?

Question

Para esta consulta, ¿es necesario usar mysql_real_escape_string?

¿Alguna mejora o la consulta está bien?

$consulta = $_REQUEST["term"]."%"; 

($sql = $db->prepare('select location from location_job where location like ?')); 

$sql->bind_param('s', $consulta); 
$sql->execute(); 
$sql->bind_result($location); 

$data = array(); 

while ($sql->fetch()) { 
    $data[] = array('label' => $location); 
} 

La velocidad de consulta es importante en este caso.

Answer 1

No, las consultas preparadas (cuando se usan correctamente) garantizarán que los datos se escapen correctamente para una consulta segura. Lo estás usando de forma adecuada, solo necesitas cambiar una pequeña cosa. Porque estás usando el '?' marcador de posición, es mejor pasar parámetros a través del método de ejecución.

$sql->execute(array($consulta));

Sólo tenga cuidado si la salida que a su página, sanitización base de datos no significa que vaya a ser seguro para su visualización en HTML, por lo ejecute htmlspecialchars() en él también.