在PHP中，可以使用转义字符来防止SQL注入攻击。在插入数据到数据库之前，需要对数据进行转义处理。PHP中提供了一个函数mysqli_real_escape_string()来实现这个功能。示例如下：
// 获取用户输入的数据
$user_input = $_POST['user_input'];
// 转义用户输入的数据
$escaped_input = mysqli_real_escape_string($connection, $user_input);
// 将转义后的数据插入数据库
$query = "INSERT INTO table_name (column_name) VALUES ('$escaped_input')";
mysqli_query($connection, $query);
在上面的示例中，$connection是数据库连接对象，$user_input是用户输入的数据。通过使用mysqli_real_escape_string()函数对用户输入数据进行转义处理，可以避免SQL注入攻击。在构建SQL查询语句时，确保使用转义后的数据。
