php防止sql注入的函数

在PHP中，可以使用以下函数来防止SQL注入：

mysqli_real_escape_string()：该函数用于转义特殊字符，以防止SQL注入。它将接收到的字符串中的特殊字符进行转义，并返回转义后的字符串。

$unsafe_variable = $_POST['user_input'];
$safe_variable = mysqli_real_escape_string($connection, $unsafe_variable);

PDO预处理语句：使用PDO（PHP Data Objects）扩展来连接数据库，并使用预处理语句来防止SQL注入。预处理语句将参数化查询与绑定参数相结合，确保输入数据被正确转义。

$unsafe_variable = $_POST['user_input'];
$statement = $pdo->prepare('SELECT * FROM table WHERE column = :input');
$statement->bindParam(':input', $unsafe_variable);
$statement->execute();

使用过滤函数：PHP提供了一些过滤函数，可以根据不同的输入类型进行过滤和转义，例如filter_var()和filter_input()函数。

$unsafe_variable = $_POST['user_input'];
$safe_variable = filter_var($unsafe_variable, FILTER_SANITIZE_STRING);

请注意，这些函数可以帮助减少SQL注入的风险，但不能完全消除风险。最好的防御策略是使用预处理语句和绑定参数，以及进行适当的输入验证和过滤