在没有预备声明的情况下消除用户输入

Question

我正在将我的网站与一个只允许我以字符串形式执行MSSQL的API集成。我不能使用预准备/绑定语句，因为API只接受字符串。

当我无法执行预准备语句时，mysqli_real_escape_string是否有效/兼容MSSQL？

示例：

$query = "SELECT * FROM foo WHERE product='.mysql_real_escape_string($user_input)."'";
api($query);