PHP:准备好的语句(新手),只需要确认一下有关SQL注入的内容

Question

我一直用mysql_query()做我的东西,但现在我转向准备好的语句有两个原因:
性能和没有sql注入的可能性

这就是我使用它的方式:

function add_new_user($e_mail1,$username,$pass)
    {
    require_once "db.php";

$stmt = $mysqli->prepare("INSERT INTO un_users VALUES ('',?, ?,0,0,?,0)");
$stmt->bind_param('sss', $e_mail1, $username,$pass); 

$stmt->execute();    
$stmt->close();
    }

($e_mail1,$username,$pass)当我将它们传递给函数或其他任何东西时,我没有清理这三个变量.

我是以正确的方式做的还是我搞砸了某个地方还是需要做别的事？我是这个的新手(仍然通过文档)所以随时淋浴你的知识:D

谢谢!

Answer 1

是的，你做得正确。