将准备好的语句包装在函数中

我一直在阅读有关SQL注入的文章，并决定修改我的代码以防止SQL注入。

例如，我有一个输入，我将值插入数据库。最初，我对注射的防范是这样的:

function test_input($data) {
    $data = trim($data);
    $data = stripslashes($data);
    $data = htmlspecialchars($data);
    // $data = addslashes($data);
    $data = mysql_real_escape_string($data);
    return $data;
}
$artist = $_POST["artist"];     // can be anything
$artist = test_input($artist);  // escaped chars are &, quotes, <, >, 'n, 'r, etc.
if ($mysqli->query("SELECT * FROM `my_table` WHERE `artist` = '$artist'")->num_rows == 0) {
    $mysqli->query("INSERT INTO my_table (artist) VALUES ('$artist')");
    echo "New artist is added.";
} else {
    echo "Artist already exists.";
}

在我读过的文章中，有人建议应该使用准备好的语句。我已经改变了我的代码，并使用:

$artist = $_POST["artist"]; // can be anything
$query = $mysqli->prepare("SELECT * FROM my_table WHERE artist = ?");
$query->bind_param("s", $artist);
$query->execute();
$result = $query->get_result();
$query->close();
if ($result->num_rows == 0) {
    echo "Artist doesn't exist in the DB." . PHP_EOL;
    $query = $mysqli->prepare("INSERT INTO my_table (artist) VALUES (?)");
    $query->bind_param("s", $artist);
    $query->execute();
    if ($query->affected_rows > 0) {
        echo "Artist is added to the DB." . PHP_EOL;
    }
    $query->close();
} else {
    echo "Artist already exists in the DB." . PHP_EOL;
}

虽然这可以防止SQL注入，但它对XSS没有任何作用。所以我决定修改test_input(删除$data = mysql_real_escape_string($data);)，并使用它来防止脚本注入。

function test_input($data) {
    $data = trim($data);
    $data = stripslashes($data);
    $data = htmlspecialchars($data);
    return $data;
}
$artist = $_POST["artist"]; // can be anything
$artist = test_input($artist);

现在，我的问题是关于使用预处理语句。我将插入三个项目;艺人、专辑和歌曲。一遍又一遍地重复同样的过程(准备、绑定、执行、关闭)对我来说似乎是多余的。我想创建一个函数，并用它包装准备好的语句过程。像这样:

function p_statement($mysqli, $query_string = "", $type = "", $vars = []) {
    $query = $mysqli->prepare($query_string);
    $query->bind_param($type, $vars);
    $query->execute();
    $result = null;
    preg_match("/^[A-Z]+/", $query_string, $command);
    switch ($command[0]) {
        case "SELECT":
            $result = $query->get_result();
            break;
        case "INSERT":
            $result = $query->affected_rows;
            break;
    }
    $query->close();
    return $result;
}

虽然，这提出了一个问题:$vars数组。由于传递给mysqli_stmt::bind_param()的变量数量将是可变的/动态的，因此我在主函数p_statement中使用了一个数组。我不知道我应该如何将数组中的项目传递给mysqli_stmt::bind_param()。bind_param期望(type, var1, var2, varn,)，我得到了一个数组。

我怎样才能使它工作?