MySQLi中的参数

Question

我正在将PHP与MySQLi结合使用，并且遇到类似以下问题的情况

SELECT $fields FROM $table WHERE $this=$that AND $this2=$that2

到目前为止，我已经写了一些代码来拼接一个数组，例如：

$search = array(name=michael, age=20) //turns into

SELECT $fields FROM $table WHERE name=michael AND age=20

有没有更有效的方法可以做到这一点？

我相当担心MySQL注入-这似乎非常脆弱。谢谢！