php – 准备语句保护您的数据库吗？

我发现有一半人声称准备语句可以保护你的数据库,另外50人声称它不是.

另一方面,我读到mysql_real_escape_string完成这项工作,而其他人则说它不是.

我的问题是谁相信？

另外,这是一个适当的准备声明吗？

$stmt = $dbh->prepare("SELECT phpro_user_id,phpro_username,phpro_password FROM phpro_users 
                    WHERE phpro_username = :phpro_username AND phpro_password = :phpro_password");

        /*** bind the parameters ***/
        $stmt->bindParam(':phpro_username',$phpro_username,PDO::PARAM_STR);
        $stmt->bindParam(':phpro_password',$phpro_password,PDO::PARAM_STR,40);

        /*** execute the prepared statement ***/
        $stmt->execute();