在PHP中，可以使用预处理语句（prepare statement）来预防SQL注入攻击。预处理语句可以在执行SQL查询之前先准备好查询语句，然后再传递参数给查询语句，从而避免直接将用户输入的数据拼接到SQL查询中。
下面是一个简单的示例代码，演示如何在PHP中使用预处理语句预防SQL注入：
// 创建数据库连接
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "database";
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// 使用预处理语句来查询数据
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param("s", $username);
// 设置参数并执行查询
$username = $_POST['username'];
$stmt->execute();
// 获取查询结果
$result = $stmt->get_result();
// 遍历结果集
while($row = $result->fetch_assoc()) {
// 处理结果
}
// 关闭查询和连接
$stmt->close();
$conn->close();
在上面的示例代码中，我们使用了预处理语句来查询数据库中的用户数据。首先使用prepare方法准备查询语句，然后使用bind_param方法绑定参数，最后执行查询并获取结果。
通过使用预处理语句，我们将用户输入的数据作为参数传递给查询语句，而不是直接拼接到SQL查询中，从而有效地预防了SQL注入攻击。
