mysqli_real_escape_stringが最初のパラメーターとして接続オブジェクトを持っている理由

mysqli_real_escape_string 特殊文字を適切にエスケープできるように、接続の文字セットを認識している必要があります。マルチバイトセットを使用する場合は、mysqliが認識している必要があります。それ以外の場合は、SQLインジェクションが可能です 。 この回答 をご覧ください 詳細については。

ただし、使用しないでください。 プリペアドステートメント を使用する ！