filter_input и mysqli_real_escape_string для целых чисел

Как и многие другие пользователи PHP, вы неправильно экранируете код. Вы воспринимаете это как своего рода волшебную палочку, которая делает некоторых "злых персонажей" "безопасными".
Это неправильная идея.
хотя подготовленные операторы могут быть восприняты как своего рода волшебная палочка, побег не синоним «защита от SQL-инъекций». Это просто синтаксическое правило строки — ни больше, ни меньше.

Нужно ли также использовать $mysqli->real_escape_string($num);

Это неуместный вопрос.
Решение об экранировании или не экранировании должно быть привязано к SQL, а не к источнику данных или каким-либо проверкам:

• real_escape_string() должны использоваться для строки sql, т. е. частей запроса, заключенных в кавычки. Должны быть использованы безоговорочно, несмотря ни на какие предыдущие манипуляции.
• Поскольку любая другая часть запроса real_escape_string() совершенно бесполезна.

Объяснение:
Правила проверки данных могут быть изменены.
В то время как правила построения SQL должны быть явными и безусловными. Чтобы разработчик никогда не задавал себе подобных вопросов.
На самом деле это совершенно разные вещи: проверка данных и построение запросов. Зачем помнить о таких деталях и соответствующим образом строить запрос? Почему бы не построить запрос на основе некоторого набора правил общего назначения, вообще не имеющих отношения к природе данных?

Итак, снова к вашему вопросу:

• если вы добавляете свои данные в запрос как есть, без кавычек, real_escape_string() в этом случае будет совершенно бесполезным, но приведение/проверка становятся необходимыми.
• если вы добавляете свои данные в запрос, используя подготовленный оператор, real_escape_string() будет совершенно бесполезным и даже вредным.
• если вы добавляете свои данные в запрос в кавычках - в этом случае вы должны сделать real_escape_string().
• также стоит отметить, что если вы добавляете свои данные в запрос как часть языка SQL - как идентификатор или ключевое слово SQL - real_escape_string() также совершенно бесполезен, как и подготовленный оператор. Белый список - ваш единственный друг здесь

Я вижу, что вы используете mysqli, ваш лучший вариант для безопасности - изучить подготовленные заявления.

Подготовленные операторы PHP mysqli

Это немного сложно для примера, но приведенная выше ссылка содержит подробные примеры.
Однако, как только вы освоитесь и создадите свой класс. Это действительно обычный SQL-запрос, но вместо того, чтобы включать ваши значения, которые вы используете?

"SELECT * FROM account WHERE username = ? AND password = ?"

и вы привязываете свои значения к утверждению:

array("bradley", "Passw0rd");

Безопасность исходит из того, что, как краткий ответ, вы сами не объединяете значения в строку запроса. Делает его менее подверженным SQL-инъекциям.