这个是定义变量，用来接收sql语句查出来的两个字段的结果接收，而不是直接sql语句查出来的直接结果

tp框架都是已经做过处理的了

搜索下次是市场上大学城

是的 ，这段代码是有问题的 不仅替换语句的那个的地方有问题，switch的参数有问题，而且$args此时被array_shift移空了应该是空数组、那下面过滤的$args[$i]从何而来呢

可能老师只是想演示一下底层是怎么来绑定参数的原理吧，按这个原来改改代码其实是可以的

利用这个函数，替换后的sql语句并不是正确的，对吧？我认为这个函数有问题的。

str_replace函数直接把两个？号都替换成了第一个参数。

搭建一个PHP的开发环境，可以考虑ZEND STUDIO。

<?php
@$id=$_GET['id'];   
$link=mysqli_connect("localhost","root","",'db');
$sql="select * from user where id='{$id}'";
$res=$link->query($sql);
foreach($res as $val){
   echo $val['username'];
}
?>

URL:http://localhost:63342/www/QUIZ.php?id=69

这是一个最简单的例子,即用$_GET方法获取表单传递的值，但是有人恶意在URL中加了一个id代替了表单的值

现在查询的id就成了URL中的id,如果是要删除一个用户但id被代替了，可能所有数据都就没有了

必须的

这个不清楚，