此函数是否适用于一般清理数据库查询变量？

问：

我知道大多数人都说只使用准备好的语句，但我有一个网站，里面有很多现有的查询，我需要通过函数方法清理变量。mysqli_real_escape_string()

此外，说的php手册是一个可以接受的替代方案，所以我在这里......mysqli_query()mysqli_real_escape_string()

我想做这种类型的查询：

$query = sprintf("SELECT * FROM users WHERE user_name = %s", 
                    query_var($user_name, "text"));
$Records = mysqli_query($db, $query) or die(mysqli_error($db));

我想知道以下功能是否有效，我不确定：

• 我还应该在开始时做吗？我在 Adobe Dreamweaver 中使用的一个旧函数可以做到这一点。stripslashes()
• 是否可以在后面添加引号？$the_value = "'".$the_value."'";mysqli_real_escape_string()
• 它有什么明显/大的缺陷吗？

我注意到删除了多个并将其替换为一个，因此 migt 不能很好地用于一般用途，例如，当用户提交可能包含的文本注释或项目描述时，通常可以不在这里使用吗？stripslashes()\\\\\\\\\\stripslashes()

我最担心的是SQL注入，如果提交的数据包含html标签是可以的，因此，我在输出/打印数据时会处理这个问题。

if(!function_exists('query_var')){
    function query_var($the_value, $the_type="text"){
        
        global $db;
        
        // do I still need this ?
        // $the_value = stripslashes($the_value);
        
        $the_value = mysqli_real_escape_string($db, $the_value);
        
        // do not allow dummy type of variables
        if(!in_array($the_type, array('text', 'int', 'float', 'double'))){
            $the_type='text';
        }
        
        if($the_type=='text'){
            $the_value = "'".$the_value."'";
        } 
        
        if($the_type=='int'){
            $the_value = intval($the_value);
        }
         
        if($the_type == 'float' or $the_type=='double'){
            $the_value = floatval($the_value);
        } 
        
        return $the_value;
        
    }
}