mysqli需要real_escape_string和Prepared Statements吗？

Question

是其中一个选项还是我必须同时使用它们？

$firstname = real_escape_string($_POST['firstname ']);
$lastname= real_escape_string($_POST['lastname']);
$email= real_escape_string($_POST['email']);


$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
$stmt->execute();

或者使用这两者可能会有冲突！？

pdo与mysqli的概念不同，阅读问题不仅仅是主题