php - mysqli_real_escape_string 在这个例子中是否提供了足够的保护？

Question

我是新来的，仍在尝试了解 mysqli/PDO。但在我看来，如果我这次走我想要的 mysqli 路线，并使用：

$search = mysqli_real_escape_string($conn, $_GET['InputFormField']);
$search = str_replace("%", "\%", $search);
$search = str_replace("_", "\_", $search);

对于通过网络表单用户输入的任何内容，我将有足够的 sql 注入保护 - 对吗？其次，我的 Web 访问者与任何涉及编辑 mySQL 数据库的交互都没有——它们只是为 select 语句提供搜索条件。（这对接近安全性的方式有什么影响吗？）

标签： phpformsmysqli