Jika digunakan di mana-mana dengan benar, real_escape_string adalah opsi. Tetapi perhatikan kode berikut:
$page = $_GET['page'];
$sql = 'SELECT `name` FROM `user` WHERE `id` = ' . mysqli_real_escape_string($page);
Aman atau tidak? real_escape_string hanya dapat digunakan untuk keluar dari string di dalam tanda kutip. $page bisa 1 OR id IN (2,3,4,5,6,7,8,9) → tidak ada tanda kutip, tidak ada pelarian nyata. Casting ke tipe data yang benar (int) mungkin membantu dalam kasus ini. Sebaiknya Anda menggunakan pernyataan yang sudah disiapkan, agar tidak mudah disalahgunakan.
