testUsers WHERE username=? AND password=?");$stmt -> bind_param("ss", $user, $pass);$stmt -> execute();值得注意的是，以下方式虽然能有效防止SQL注入（归功于mysql_real_escape_string函数的转义），但并不是真正的参数化查询。其本质仍然是拼接字符串的SQL语句。$query = sprintf("SELECT * FROM Users where UserName='%s' a