php - 存储过程的参数是否需要转义？

Question

或者在这种情况下不需要调用 real_escape_string() ？
/电子邮件值来自用户输入。/

function findUser($email)  
{   
    $mysqli = connectDB();  
    $email = $mysqli->real_escape_string($email);  
    $query = "CALL FindUser('{$email}')";  
    // ...  
}  

Answer 1

您只是构建一个包含过程调用的动态 SQL 字符串，该字符串可能会受到攻击。您应该将参数绑定(bind)到过程，只要您不在过程中使用动态 SQL，这就会为您提供一些保护。

mysqli_stmt::bind_param

Bound Parameters