为什么mysqli prepare语句不清除数据

我正在使用此代码

<?php
include('connection.php');
$heading = $_POST['upd_head'];
$note =  $_POST['upd_text'];
$post_id = $_POST['up_post_id'];
$supd_head= "UPDATE posts SET heading= ?, note=? WHERE post_id=?";
$stmt_head= mysqli_stmt_init($db_conx);
if(!mysqli_stmt_prepare($stmt_head, $supd_head)){
echo "sql is not ready";
 }
else{
mysqli_stmt_bind_param($stmt_head, "sss", $heading,$note,$post_id);
mysqli_stmt_execute($stmt_head);
}

?>

当我给这个输入

<script>alert('hack');</script>

它保存在数据库中，并在更新数据后刷新页面时发出警报消息。为什么不先清理数据？但是我认为mysqli_real_escape_string在使用prepare语句时没有用。