清理输入数据是否会阻止sql注入?[复制]

static column name 在这里是不可能的。所以,我用 santize . 好像sql注入就足够了 bind param 方法。什么是最好的方法?

$id = filter_var($_POST['id'], FILTER_SANITIZE_STRING);
$text = filter_var($_POST['text'], FILTER_SANITIZE_STRING);
$column_name = filter_var($_POST['column_name'], FILTER_SANITIZE_STRING);
$result = $con->query("UPDATE menu SET $column_name='$text' WHERE mid=$id") OR die($con->error);