在PHP中，可以使用内置的函数mysqli_real_escape_string()来对用户输入的数据进行编码，以防止SQL注入攻击。该函数会对字符串中的特殊字符进行转义，使其在SQL查询中不会被误解为SQL语句的一部分。
另外，还可以使用预处理语句来执行SQL查询，将用户输入的数据作为参数传递给预处理语句，而不是直接拼接在SQL查询中。这样可以有效防止SQL注入攻击，因为预处理语句会自动对参数进行编码和转义，确保数据安全性。
除了防止SQL注入攻击外，PHP还提供了一些其他编码函数，如htmlspecialchars()和strip_tags()，可以用于防止XSS（跨站脚本攻击）攻击。这些函数可以将用户输入的特殊字符转换为HTML实体，避免在页面中被解释为HTML代码执行。通过使用这些编码函数，可以有效保护应用程序免受恶意用户输入的攻击。