mysql参数化查询的原理是怎样的？例子，php怎么实现？

参数化查询是指在设计与数据库连结并访问数据时，在需要填入数值或数据的地方，使用参数 来给值，这个方法目前已被视为最有效可预防SQL注入攻击的攻击手法的防御方式。

$query=sprintf("SELECT * FROM Users where UserName='%s' and Password='%s'",

mysql_real_escape_string($Username),

mysql_real_escape_string($Password))

mysql_query($query)

或是

$db=new mysqli("localhost","user","pass","database")

$stmt=$mysqli->prepare("SELECT priv FROM testUsers WHERE username=? AND password=?")

$stmt->bind_param("ss",$user,$pass)

$stmt->execute()

select * from a,b,c where a.code=b.code and a.code=c.code

select * from a,b,c where a.code=b.code and c.code=c.code (无意义)

select (select id from d where code=c.code) from a,b,c where a.code=b.code and c.code=c.code （无意义）

是不是贴错了。。

---