在 PHP 中，使用预处理语句和参数绑定可以有效避免 SQL 注入漏洞，这是防止攻击者通过转义字符插入恶意代码的主要方式。当使用 PDO 或 MySQLi 扩展时，应该利用它们的预处理语句功能，并且始终绑定参数。以下是一个使用 PDO 预处理语句和参数绑定的示例：
// 创建数据库连接
$pdo = new PDO('mysql:host=example.com;dbname=testdb', 'username', 'password');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 准备 SQL 并绑定参数
$stmt = $pdo->prepare('INSERT INTO users (username, email) VALUES (:username, :email)');
$stmt->bindParam(':username', $username);
$stmt->bindParam(':email', $email);
// 设置参数值并执行
$username = 'exampleUser';
$email = 'user@example.com';
$stmt->execute();
在这个示例中，:username 和 :email 是命名占位符，它们会被传递的值安全地替换，而不会影响 SQL 语句的结构。这种方法不需要手动转义用户输入，从而减少了因转义字符不当而导致的安全风险。
除了预处理语句，还可以使用 PHP 的内置函数 htmlspecialchars() 来转义 HTML 特殊字符，以防止跨站脚本攻击（XSS）。但是，这个函数主要用于输出内容的转义，而不是用于 SQL 查询。在处理用户输入并插入数据库之前，应该使用预处理语句和参数绑定来确保安全。