在PHP中，要正确实现转义（escape），可以使用内置的函数mysqli_real_escape_string()来转义字符串。这个函数会对字符串中的特殊字符进行转义，以防止SQL注入攻击。
以下是一个示例代码，演示如何使用mysqli_real_escape_string()函数来转义字符串：
// 连接数据库
$mysqli = new mysqli("localhost", "username", "password", "database");
// 检查连接
if($mysqli->connect_error) {
die("连接失败: " . $mysqli->connect_error);
}
// 需要转义的字符串
$string = "It's a string with special characters like ' and \"";
// 转义字符串
$escaped_string = $mysqli->real_escape_string($string);
// 输出转义后的字符串
echo "转义后的字符串: " . $escaped_string;
// 关闭数据库连接
$mysqli->close();
在上面的代码中，我们首先创建了一个与数据库的连接，然后定义了一个包含特殊字符的字符串。接着，我们使用mysqli_real_escape_string()函数来转义这个字符串，并将结果存储在$escaped_string变量中。最后，我们输出转义后的字符串并关闭数据库连接。
使用mysqli_real_escape_string()函数可以确保输入的数据在SQL语句中不会被误解为SQL命令，从而有效地防止SQL注入攻击。
