Es ist unmöglich, eine Zeichenkette ohne eine DB-Verbindung sicher zu maskieren. mysql_real_escape_string() und vorbereitete Anweisungen benötigen eine Verbindung zur Datenbank, damit sie den String mit dem entsprechenden Zeichensatz maskieren können - ansonsten sind SQL-Injection-Angriffe mit Multibyte-Zeichen immer noch möglich.
Wenn Sie nur testen , dann können Sie auch mysql_escape_string() verwenden , es ist nicht zu 100 % garantiert gegen SQL-Injection-Angriffe, aber es ist unmöglich, etwas Sichereres ohne eine DB-Verbindung zu erstellen.
