PHP SQL Server注入

如果要使用ODBC，这是防止所有Microsoft SQL Server注入的方法吗

public function mssql_escape($str)
{
    if (get_magic_quotes_gpc()):
        $str = stripslashes($str);
    endif;

    return str_replace("'", "''", $str);
}

---

关于这个话题还有其他几篇文章，但简短的回答是否定的，有更好的方法来处理sql注入。否定-使用参数化查询-这是唯一可行的方法去做@marc_说的。。。