mysql_real_escape_string biasanya cukup untuk menghindari injeksi SQL. Ini bergantung pada bebas bug, yaitu ada beberapa kemungkinan kecil yang tidak diketahui adalah rentan (tapi ini belum terwujud di dunia nyata). Alternatif yang lebih baik yang sepenuhnya mengesampingkan injeksi SQL pada tingkat konseptual adalah pernyataan yang disiapkan . Kedua metode sepenuhnya bergantung pada penerapannya dengan benar; yaitu tidak ada yang akan melindungi Anda jika Anda tetap mengacaukannya.
