AYUDA-Inyección de Código SQL.

[art_rockerd]

Mi código quedo como sigue :

Código PHP:

<?php 
//FUNCION RECIBE PARAMETROS DE ENTRADA
function login($user,$pwd){
    
        // CONEXION A BDD
        $host="localhost";
        $userbd="root";
        $pass="";
        $schema="pruebas";
            $mysqli = new mysqli($host,$userbd,$pass,$schema);
            if (mysqli_connect_errno()) {
                printf("Fallo la conexion a la base de datos: ", mysqli_connect_error());
            }
                
            
        $consulta = "SELECT username,pass FROM users WHERE username=? and pass=?";
        //PREPARAMOS LA CONSULTA
        if ($sentencia = $mysqli->prepare($consulta)) {
        //ENVIAMOS LOS PARAMETROS
        $sentencia->bind_param('ss', $usuario, $pasword);
        //ESCAPAMOS
        $usuario = $mysqli->real_escape_string($user);
        $pasword = $mysqli->real_escape_string($pwd);
            /* ejecutar la sentencia */
            $sentencia->execute();
             if ($sentencia->errno) {
                  echo "FAILURE!!! " . $sentencia->error();
        }
            /* vincular las variables de resultados */
                                   
            //**************************RESULTADOS EN ARRAY ASOCIATIVO*******************************/
            $result = $sentencia->get_result();
            if($result->num_rows <1) {echo "no se encontro usuario";
               echo "<a href='logingInyection.html'>Regresar</a>";}
             //fetch_assoc retorna un array asociativo con la siguiente estructura array('campo base datos'=>'valor')
             /* obtener los valores */
                       while($row = $result->fetch_assoc()) {
                       $nameUser=$row['username'];
                        $idprofile=$row['pass'];
                        echo "$nameUser";
                        echo "<a href='logingInyection.html'>Regresar</a>";
                       }
            /**************************************************************************************/                       
            /* cerrar la sentencia */
            $sentencia->close();
        }else{
               //inyeccion
       }
       mysqli_close($mysqli);//cerramos la conexion
}
 
 
//recibimos parametros
if(trim($_POST["username"])!= ""&& trim($_POST["pass"])!= "")   
    {
        //recibo las variables y las sanitizo con la funcin Securityu
        $user = $_POST["username"];  
        $pass = $_POST["pass"]; 
        $pwd=sha1($pass);
        login($user,$pwd);
    }else{
        echo "Algun campo esta vacio<br>
        <a href='logingInyection.html'>Regresar</a>";
    }  
 
 
?>