他们说用mysqli_real_escape_string过滤参数就可以防止SQL注入了