Недопустимое значение sql-инъекции

Question

Я хочу спросить, могу ли я предотвратить инъекцию sql с помощью этого кода?

<?php 
$mysqli = new mysqli("localhost", "root", "", "lists"); 
    if (isset($_POST['main'])) { 
    if (isset($_POST['sub'])) { 
    $main = $mysqli->real_escape_string($_POST["main"]); 
    $sub = $mysqli->real_escape_string($_POST["sub"]); 

    query . . . . 

    } 
    } 
?> 

Answer 1

Дубликат: How can I prevent SQL injection in PHP?

Использование подготовленных операторов и параметризованных запросов. Вы можете сделать это следующим образом:

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name=? and age=?'); 
$stmt->bind_param('si', $_POST['name'], $_POST['age']); 
$stmt->execute(); 

«си» означает строку и целое число, каждую букву к каждым парам соответствующих каждому? ». Дополнительная информация может быть найдена здесь: http://www.php.net/manual/en/mysqli-stmt.bind-param.php

$stmt = $mysqli->prepare("INSERT INTO CountryLanguage VALUES (?, ?, ?, ?)"); 
$stmt->bind_param('sssd', $code, $language, $official, $percent); 

С уважением.