SQL-параметризация и экранирование

Question

Если ваш язык/база данных по выбору имеет встроенную функцию для выхода из пользовательского ввода (например, mysql_real_escape_string), какие аргументы для параметризации SQL? Возможно ли, что mysql_real_escape_string может в какой-то момент оставить уязвимым приложение?

Я использую параметризацию, потому что мне сказали/прочитали, что это лучший способ пойти, но я не просто хочу слепо следовать. Любое понимание? Благодаря!

Answer 1

Аргументы для параметризации производительность.

Если вы собираетесь выполнить следующее предложение в несколько раз:

insert into table (col1, col2) values (?, ?); 

Это лучше использовать параметры, так как запрос будет оцениваться только (разобран, анализ плана и расчет) один раз, и будет выполнялся много раз.