为了避免 SQL 注入，您应该使用预处理语句（prepared statements）和参数化查询。在 PHP 中，可以使用 PDO (PHP Data Objects) 或 MySQLi 扩展来实现这一目标。
以下是使用 PDO 和预处理语句的示例：
<?php
// 连接数据库
$dsn = 'mysql:host=localhost;dbname=mydatabase';
$username = 'myuser';
$password = 'mypassword';
$options = array(
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_EMULATE_PREPARES => false
);
$pdo = new PDO($dsn, $username, $password, $options);
// 使用预处理语句和参数化查询来避免 SQL 注入
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(['email' => $email]);
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);
foreach ($result as $row) {
// 处理结果集
}
?>
在上面的示例中，我们使用了预处理语句和参数化查询来绑定 email 参数。这样可以确保用户提供的数据不会被解释为 SQL 代码，从而避免了 SQL 注入攻击。
请注意，您需要根据自己的数据库配置修改 $dsn、$username 和 $password 变量。同时，确保已安装并启用 PDO 扩展。
