php 防止sql注入

PHP防止SQL注入主要是通过参数化查询（Parameterized Queries）或预处理语句（Prepared Statements）来实现的。这两种方法可以有效地避免恶意用户提交的数据改变原有的SQL结构，导致安全漏洞。

1. 参数化查询：这种方式将SQL语句和数据分开处理。在PHP中，使用`mysqli`或`PDO`等数据库操作函数时，将变量作为参数传递给预定义的SQL语句，而不是直接插入到字符串中。例如：

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$stmt->bindParam(':username', $_POST['username'], PDO::PARAM_STR);
$stmt->execute();

2. 预处理语句：类似参数化查询，先创建一个预处理语句，然后多次绑定参数并执行。预处理语句会自动转义输入，防止注入。

注意：
- 不要在字符串拼接的方式中直接插入用户输入，如 `mysql_query("SELECT * FROM table WHERE name='".htmlspecialchars($_POST['name'])."'")`；
- 对输入进行严格的验证和清理，移除特殊字符；
- 使用PHP内置的`filter_var()`函数或第三方库进行过滤。