Как составить безопасное и подготовленное выражение с mysqli?

Question

[Statium]

Как составить безопасное и подготовленное выражение с mysqli для следующего запроса
$namecomment = mysqli_real_escape_string($mysqli, $_POST['namecomment']);
$inputcomment = mysqli_real_escape_string($mysqli, $_POST['inputcomment']);
$sql = "INSERT INTO comments (`note`, `name`, `text`, `date`) VALUES ('$id', '$namecomment', '$inputcomment', '$date')";
$mysqli->query($sql);

Answer 1

[roswell]

$mysqli = new mysqli( 'localhost', 'user', 'password', 'database' );
if ( $stmt = $mysqli->prepare( 'INSERT INTO comments( `note`, `name`, `text`, `date` ) VALUES( ?, ?, ?, ? )' ) ) {
    $id = 1;
    $name = $_POST[ 'namecomment' ];
    $text = $_POST[ 'inputcomment' ];
    $date = date( 'Y-m-d H:i:s' );
    $stmt->bind_param( 'isss', $id, $name, $text, $date );
    $stmt->execute();
} else {
    echo $mysqli->error . PHP_EOL;
}
$mysqli->close();

Докция на php.net

Comments

[Statium]

там нет подробных примеров, запрос у меня не получился.

[roswell]

Statium, добавил пример к ответу.