要防止SQL注入，可以使用PHP的预处理语句（Prepared Statements）和参数绑定功能。这样，即使用户提供的数据包含恶意代码，也不会影响到查询的结构。以下是一个使用PHP和MySQLi扩展实现预处理语句和参数绑定的示例：
<?php
// 数据库连接信息
$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_db";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
// 需要插入的数据
$name = "John Doe";
$email = "john.doe@example.com";
// 使用预处理语句和参数绑定来防止SQL注入
$stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->bind_param("ss", $name, $email);
// 执行预处理语句
if ($stmt->execute()) {
echo "新记录插入成功";
} else {
echo "Error: " . $stmt->error;
}
// 关闭连接
$stmt->close();
$conn->close();
?>
在这个示例中，我们使用了mysqli扩展的预处理语句功能。prepare()方法用于创建预处理语句，bind_param()方法用于绑定参数。参数以字符串形式传递，其中第一个字符表示参数类型（如"s"表示字符串），后续字符表示参数值。
这种方法可以有效防止SQL注入，因为预处理语句在编译时已经确定了查询结构，而参数值不会影响到查询结构。即使用户提供的数据包含恶意代码，也不会影响到查询的执行。
