Wie verhindert man SQL-Injection in PHP? Sicherer Umgang mit MySQL

Hallo zusammen. Ich bin ein PHP-Anfänger und habe ein ernstes Sicherheitsproblem. Ich schreibe eine einfache Website zur Benutzerregistrierung, bin mir aber nicht sicher, ob mein Code vor Hacking geschützt ist.\n\nHier ist ein Beispiel meines Codes für die Anmeldung:\n\n```php\n$username = $_POST['username'];\n$password = $_POST['password'];\n$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";\n$result = mysqli_query($connection, $query);\nif (mysqli_num_rows($result) > 0) {\n echo "Willkommen, $username!";\n} else {\n echo "Falscher Benutzername oder Passwort";\n}\n```\n\nIch habe gehört, dass solcher Code anfällig für SQL-Injection ist. Wenn man zum Beispiel `' OR '1'='1` in das Feld username eingibt, kann man die Passwortprüfung umgehen. Wie kann ich meine Anwendung richtig schützen? Muss ich Anführungszeichen escapen mit Hilfe