php - 为什么在 php 中使用准备好的语句而不是 mysqli_real_escape_string()？

Question

我是 PHP 的初学者，我只知道一些基本的东西。几个月前，我开始在“博客”平台上工作，并创建了一个基于 PHP 和 MySQL 的登录系统。为了使其更安全，我加密了密码并用于登录表单 ( , )mysqli_real_escape_string()中存在的变量。$username$password

我读了一些关于某种“准备好的陈述”的东西，我有一个问题：为什么他们被认为“比”更好mysqli_real_escape_string()？我为什么要使用它们，而不是上面提到的功能？

寻找答案，但没有找到任何答案（只有不断说它'更好'的人），所以我决定在这里问这个问题。

标签： phpmysqlprepared-statement