プリペアド ステートメントでは mysql_real_escape_string() 関数が必要ですか?

指定されたクエリのようにプリペアド ステートメントを利用する場合:

$sql = $db->prepare('select location from location_job where location like ?');

$sql->bind_param('s', $consulta);
$sql->execute();
$sql->bind_result($location);

準備されたステートメントは、入力内の特殊文字をエスケープすることで SQL インジェクション攻撃を防ぐ安全な方法を提供するため、mysql_real_escape_string() 関数は必要ありません。

クエリを改善するための 1 つの提案は、「?」を利用することです。プレースホルダーを使用すると、execute メソッドを通じてパラメータをより簡単に渡すことができます:

$sql->execute([$consulta]);

ただし、htmlspecialchars を使用してユーザー入力をサニタイズするようにしてください。クロスサイト スクリプティングの脆弱性を防ぐために、表示する前に () を追加してください。