MySQL. В чем разница функций?
bind_param. А еще лучше - PDO
Разница очень простая. 
Функция mysqli_real_scape_string не предназначена для защиты против возможных sql-инъекций. И применять ее в таком качестве - прямой путь заполучить инъекцию. 
В то время как одно из назначений функции mysqli_stmt_bind_param - это предотвращение  sql-инъекций, поэтому применять её для этой цели можно и нужно.