动态预准备语句 - 这是否会打开安全漏洞

这类似于这个问题 - 动态准备语句不好吗？（使用 PHP + MySQLLI），但是由于它是 4 岁了，我想得到一个更新的答案。

我写了一个类，虽然我没有在更多的 copmlex sql 查询上测试它，但它在简单的 sql 查询上没有失败，但是我不确定这样做是否绕过了准备语句的主要原因之一 - 安全性。

我已经利用了call_user_func_array，这对于bind_param语句来说很容易，但是对于bind_result来说有点棘手。我最初使用get_result但是我去的主机没有可用的mysqlnd，但我设法使用元数据。这是我写的完整课程。

你认为这是安全的吗？

传入的值为：

• $sql是传入的 SQL 语句：

  SELECT * FROM users WHERE id = ? AND created_timestamp > ?
  

• $mysqli是 mysqli 连接

• $para是预准备语句中的占位符：

  array ($types = 'ii', 23, 1235376000)
  

班级：

class crudModel {
    function ps($sql, $mysqli, $para) {
        //this function should work for just about any simple mysql statement
        //for more complicated stuff like joins, unions etc,. we will see
        if ($prep = $mysqli->prepare($sql)) {
            call_user_func_array(array($prep, 'bind_param'), $this->makeValuesRef($para, $mysqli));
            $prep->execute();
            $meta = $prep->result_metadata();
            while ($field = $meta->fetch_field()) {
                $parameters[] = &$row[$field->name];
            }
            call_user_func_array(array($prep, 'bind_result'), $parameters);
            while ($prep->fetch()) {
                foreach ($row as $key=>$val) {
                    $x[$key] = $val;
                }
                $data[] = $x;
            }
            return $data;
        }
    }
    function makeValuesRef($array, $mysqli) {
        $refs = array();
        foreach($array as $key => $value) {
            $array[$key] = $mysqli->real_escape_string($value); //i don't think escaping is necessary, but it can't hurt (??)
            $refs[$key] = &$array[$key];
        }
        return $refs;
    }
}