Улучшение безопасности для функции PHP

Question

Есть ли способ улучшить безопасность этой функции? Я все еще новичок в PHP. Хотелось бы посоветовать.

public function postNewMessage($user_name, $message) 
{ 
$user_name = $this->mysqli->real_escape_string($user_name); 
$message = $this->mysqli->real_escape_string($message); 
$query  ='INSERT INTO Messages (posted_on, user_name, message) 
VALUES (NOW(), "'.$user_name.'", "'.$message.'")'; 
$result = $this->mysqli->query($query); 
} 

Answer 1

Вы можете использовать подготовленные операторы вместо «вручную», избегая ваших переменных; если все будет хорошо, побега будет достаточно, но подготовленные заявления также являются более чистым подходом.

$stmt = $this->mysqli->prepare('INSERT INTO Messages 
    (posted_on, user_name, message) 
    VALUES (NOW(), ?, ?)'); 
$stmt->bind_param("ss", $user_name, $message); 
$stmt->execute(); 

Смотрите также: prepared statements