Nhược điểm chính của mysql_real_escape_string:
- Không an toàn khi sử dụng với prepared statements trong API hiện đại.
- Không bảo vệ khỏi mọi kiểu tấn công khi ép kiểu (typecast).
Cú pháp ép kiểu trong MySQL:
(TypeCast)mysql_real_escape_string($_REQUEST['anyColumnName']));Trong trường hợp này, ép kiểu không an toàn cho mọi tấn công có thể. Các vấn đề khác:
- Không an toàn về kiểu (not type safe).
- Không ngăn chặn tấn công tiêm mã (injection attack).