如何防止 SQL 注入？

我修改一下那个很经典的笑话：程序员不应该执行删除地球这样的SQL语句，而是写删除一个行星，然后将地球当作参数传入。

$stmt = $mysqli->prepare("DELETE FROM planet WHERE name = ?");
$stmt->bind_param('s', "earth");
$stmt->execute();