在以下情况下，必须使用PHP转义函数来避免安全漏洞：
用户输入数据：当用户通过表单或其他方式向网站提交数据时，这些数据可能包含恶意代码，如SQL注入、XSS攻击等。在将用户输入数据输出到页面上之前，必须使用转义函数对其进行处理，以防止恶意代码执行。
数据库查询：在构建SQL查询语句时，要确保使用转义函数来处理用户输入的数据，以防止SQL注入攻击。
输出到HTML页面：当将用户输入的数据输出到HTML页面时，必须确保对数据进行HTML转义，以避免XSS攻击。
总之，任何时候在PHP代码中处理用户输入数据时，都应该使用转义函数来确保网站的安全性。