***对于发现此问题的任何人，请将所提及的答案视为重复。我还发现下面的评论很有用，这篇文章非常有帮助。
我已将更正后的代码包含在＆＃34; new_add.php＆＃34; ***中
我正在向mysql数据库提交数据并提出以下问题：以下是否安全？基本上我使用带有标签的标签，用于＆＃39;类型＆＃39;。我担心这里的sql和html注入，但在环顾四周之后它似乎并没有被覆盖在任何地方吗？
期待任何建议！谢谢！
输入表格：
＆lt; form method =＆＃34; POST＆＃34;行动=＆＃34; add.php＆＃34;＆GT;
＆lt; label＆gt;产品类型：＆lt; / label＆gt;
＆lt; input id =＆＃34; textbox＆＃34;类型=＆＃34;文本＆＃34; /＆GT;
＆lt; select id =＆＃34; select＆＃34;名称=＆＃34;类型＆＃34;＆GT;
＆lt; option class =＆＃34; 1＆＃34;值=＆＃34;＆＃34;＆gt;将＆LT; /选项＆GT;
＆lt; option class =＆＃34; 2＆＃34;值=＆＃34; B＆＃34;＆GT; b将/选项＆GT;
＆lt; option class =＆＃34; 3＆＃34;值=＆＃34; C＆＃34;＆GT;℃下/选项＆GT;
＆lt; option class =＆＃34; 4＆＃34;值=＆＃34; d＆＃34;＆GT; d＆LT; /选项＆GT;
＆lt; option class =＆＃34; 5＆＃34;值=＆＃34; E＆＃34;＆GT; e控制/选项＆GT;
＆LT; /选择＆GT;
＆lt; label＆gt;说明：＆lt; / label＆gt;＆lt; input type =＆＃34; text＆＃34;名称=＆＃34;描述＆＃34;＆GT;
＆lt; label＆gt; Price：＆lt; / label＆gt;＆lt; input type =＆＃34; text＆＃34;名称=＆＃34;价格＆＃34;＆GT;
＆lt; label＆gt; Expires：＆lt; / label＆gt;＆lt; input type =＆＃34; text＆＃34;名称=＆＃34;期满＆＃34;＆GT;
＆lt;输入类型=＆＃34;提交＆＃34;名称=＆＃34;添加＆＃34;＆GT;
＆LT; /形式＆GT;
和我的add.php
＆LT; PHP
包括（＆＃39; dbconnect.php＆＃39）;
$ type = filter_var（$ _ POST [＆＃39; type＆＃39;]，FILTER_SANITIZE_STRING）;
$ description = filter_var（$ _ POST [＆＃39; description＆＃39;]，FILTER_SANITIZE_STRING）;
$ price = filter_var（$ _ POST [＆＃39; price＆＃39;]，FILTER_SANITIZE_FLOAT）;
$ expiry = filter_var（$ _ POST [＆＃39; expiry＆＃39;]，FILTER_SANITIZE_STRING）;
mysqli_query（$ mysqli，＆＃34;插入`merchant_products`（类型，描述，价格，到期）值（＆＃39; $ type＆＃39;，＆＃39; $ description＆＃39;，＆＃39; $价＆＃39;＆＃39; $到期＆＃39;）＆＃34）;
报头（＆＃39;位置：test2.php＆＃39）;
？＆GT;
正确 - 输入：
＆lt; form method =＆＃34; POST＆＃34;行动=＆＃34; add.php＆＃34;＆GT;
＆lt; label＆gt;产品类型：＆lt; / label＆gt;
＆lt; input id =＆＃34; textbox＆＃34;类型=＆＃34;文本＆＃34; /＆GT;
＆lt; select id =＆＃34; select＆＃34;名称=＆＃34;类型＆＃34;＆GT;
＆lt; option class =＆＃34; 1＆＃34;值=＆＃34;＆＃34;＆gt;将＆LT; /选项＆GT;
＆lt; option class =＆＃34; 2＆＃34;值=＆＃34; B＆＃34;＆GT; b将/选项＆GT;
＆lt; option class =＆＃34; 3＆＃34;值=＆＃34; C＆＃34;＆GT;℃下/选项＆GT;
＆lt; option class =＆＃34; 4＆＃34;值=＆＃34; d＆＃34;＆GT; d＆LT; /选项＆GT;
＆lt; option class =＆＃34; 5＆＃34;值=＆＃34; E＆＃34;＆GT; e控制/选项＆GT;
＆LT; /选择＆GT;
＆lt; a＆gt;说明：＆lt; / a＆gt;＆lt;输入类型=＆＃34;文字＆＃34;名称=＆＃34;描述＆＃34;＆GT;
＆lt; a＆gt;价格：＆lt; / a＆gt;＆lt;输入类型=＆＃34;文字＆＃34;名称=＆＃34;价格＆＃34;＆GT;
＆lt; a＆gt;到期：＆lt; / a＆gt;＆lt;输入类型=＆＃34;文字＆＃34;名称=＆＃34;期满＆＃34;＆GT;
＆lt;输入类型=＆＃34;提交＆＃34;名称=＆＃34;添加＆＃34;＆GT;
＆LT; /形式＆GT;
new_add.php：
＆LT; PHP
包括（＆＃39; dbconnect.php＆＃39）;
$ add = $ mysqli-＆gt; prepare（＆＃34; INSERT INTO merchant_products（类型，描述，价格，到期）VALUES（？，？，？，？）＆＃34;）;
$ add-＆gt; bind_param（＆＃34; ssds＆＃34;，$ _POST [＆＃39;类型＆＃39;]，$ _POST [＆＃39;描述＆＃39;]，$ _POST [＆＃39;价格＆ ＃39;]，$ _POST [＆＃39;到期＆＃39;]）;
$添加 - ＆GT;执行（）;
$添加 - ＆GT;关闭（）;
报头（＆＃39;位置：test2.php＆＃39）;