在讨论PHP如何在将数据存储到数据库之前转义数据时，我们需要关注的核心是预防SQL注入攻击。SQL注入是一种代码注入技术，它允许攻击者将或“注入”恶意的SQL命令到后端数据库引擎执行。这些恶意的SQL命令可以修改或破坏数据库中的数据，甚至执行管理员权限的操作系统命令。因此，在PHP中，对任何来自用户输入的数据进行转义或预处理，是保护数据库安全的重要步骤。
1. 使用PDO（PHP Data Objects）
PDO是一个数据库访问层，提供了一个统一的方法来访问多种数据库。使用PDO时，推荐的做法是使用预处理语句（prepared statements）和参数化查询来自动处理转义问题。预处理语句将SQL语句的结构与数据分开，这样数据库就能够识别出哪些是SQL代码，哪些是数据。
示例代码：
try { $pdo = new PDO('mysql:host=localhost;dbname=testdb', 'username', 'password'); // 设置PDO错误模式为异常 $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 预处理SQL并绑定参数 $stmt = $pdo->prepare("INSERT INTO users (username, email) VALUES (:username, :email)"); $stmt->bindParam(':username', $username); $stmt->bindParam(':email', $email); // 插入行 $username = 'johndoe'; $email = 'john@example.com'; $stmt->execute(); echo "新记录插入成功";
} catch(PDOException $e) { echo "连接失败: " . $e->getMessage();
}在这个例子中，:username 和 :email 是占位符，它们在执行时会被实际的值替换，并且这些值会被PDO自动转义，以防止SQL注入。
2. 使用MySQLi扩展
对于专门使用MySQL数据库的PHP开发者来说，MySQLi扩展也是一个很好的选择。MySQLi提供了面向过程和面向对象两种API，也都支持预处理语句和参数化查询。
面向对象方式示例：
$mysqli = new mysqli("localhost", "username", "password", "testdb"); // 检查连接
if ($mysqli->connect_error) { die("连接失败: " . $mysqli->connect_error);
} // 预处理和绑定
$stmt = $mysqli->prepare("INSERT INTO users (username, email) VALUES (?, ?)");
$stmt->bind_param("ss", $username, $email); $username = 'janedoe';
$email = 'jane@example.com'; // 执行
$stmt->execute(); echo "新记录插入成功"; $stmt->close();
$mysqli->close();在这个例子中，? 是参数占位符，bind_param 方法用于绑定实际的数据值，并指定它们的类型（在这个例子中是字符串类型"ss"）。
3. 手动转义（不推荐）
虽然手动转义用户输入的数据是可能的，但它通常不推荐作为保护数据库安全的手段。因为手动转义很容易出错，特别是当涉及到复杂的SQL查询时。然而，了解这一过程仍然是有价值的，特别是当使用不支持预处理语句的旧系统或函数时。
在PHP中，mysqli_real_escape_string() 函数和 addslashes() 函数经常被用来手动转义数据。但是，请注意，mysqli_real_escape_string() 需要一个有效的数据库连接，并且仅适用于MySQL数据库。
mysqli_real_escape_string() 示例：
$mysqli = new mysqli("localhost", "username", "password", "testdb"); $username = $mysqli->real_escape_string($_POST['username']);
$email = $mysqli->real_escape_string($_POST['email']); // 然后你可以将这些值插入到SQL查询中addslashes() 示例：
$username = addslashes($_POST['username']);
$email = addslashes($_POST['email']); // 注意：addslashes() 不是SQL注入的完全解决方案，仅在某些情况下可用然而，addslashes() 并不是防止SQL注入的最佳选择，因为它只是简单地添加了反斜杠（\）来转义单引号（'）、双引号（"）、反斜杠（\）和NULL字符。它并不理解SQL的上下文，也不适用于所有数据库系统。
总结
在PHP中，保护数据库免受SQL注入攻击的最佳做法是使用PDO或MySQLi扩展，并利用它们的预处理语句和参数化查询功能。这些方法不仅提高了代码的安全性，还使代码更加清晰和易于维护。尽管手动转义在某些情况下是可行的，但应该尽量避免使用，因为它们容易出错且不如预处理语句有效。