MySQL接続を使用したPHPのパラメーター化されたクエリ

どうぞ

$stmt = mysqli_prepare($dbc, "SELECT * FROM users WHERE username = ? AND password = ?");
mysqli_stmt_bind_param($stmt, "s", $userName);
mysqli_stmt_bind_param($stmt, "s", $userPass);
mysqli_stmt_execute($stmt);
$row = mysqli_stmt_fetch($stmt);

Documentation

補足として、パスワードを暗号化するか、セキュリティのためにハッシュを使用することをお勧めします。パスワードをプレーンテキストとして保存するのは適切ではありません