在Web开发中，SQL注入是一种常见且极具威胁性的安全漏洞，攻击者通过在用户输入中添加恶意的SQL代码，可能会绕过应用程序的安全机制，对数据库进行非法操作，如数据泄露、数据篡改甚至数据库被破坏等。PHP作为一种广泛应用于Web开发的脚本语言，提供了多种防止SQL注入的函数，下面将对这些函数的功能与特点进行详细分析。

一、addslashes函数

addslashes函数是PHP中较早用于处理字符串转义的函数，它的主要功能是在预定义的字符前添加反斜杠（\），这些预定义字符包括单引号（'）、双引号（"）、反斜杠（\）和空字符（NULL）。在处理用户输入时，通过使用addslashes函数可以防止恶意用户利用单引号或双引号来破坏SQL语句的结构。

以下是一个简单的示例代码：

$username = $_POST['username'];
$password = $_POST['password'];
$username = addslashes($username);
$password = addslashes($password);
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

在这个示例中，通过addslashes函数对用户输入的用户名和密码进行处理，将其中的单引号等特殊字符进行转义，从而避免攻击者通过构造特殊的输入来改变SQL语句的逻辑。

addslashes函数的特点在于使用简单，只需要将需要处理的字符串作为参数传入即可。然而，它也存在一些明显的局限性。首先，它依赖于当前的字符集设置，如果字符集设置不正确，可能会导致转义不完整，从而仍然存在SQL注入的风险。其次，在某些数据库系统中，如MySQL 5.5.3及以上版本，默认的字符集为UTF-8，addslashes函数可能无法正确处理一些特殊字符，因为它没有考虑到字符集的编码规则。

二、mysql_real_escape_string函数（已弃用）

mysql_real_escape_string函数是专门为MySQL数据库设计的用于防止SQL注入的函数。它的工作原理是根据当前MySQL数据库的字符集，对传入的字符串进行转义，确保其中的特殊字符不会破坏SQL语句的结构。

示例代码如下：

$conn = mysql_connect("localhost", "root", "password");
mysql_select_db("test", $conn);
$username = $_POST['username'];
$password = $_POST['password'];
$username = mysql_real_escape_string($username, $conn);
$password = mysql_real_escape_string($password, $conn);
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysql_query($sql, $conn);

该函数的优点是能够根据MySQL数据库的字符集进行正确的转义，相对addslashes函数更加安全。但需要注意的是，该函数依赖于旧的mysql扩展，而mysql扩展在PHP 5.5.0中已被弃用，在PHP 7.0.0中已被移除。因此，不建议在新的项目中使用该函数。

三、mysqli_real_escape_string函数

mysqli_real_escape_string函数是mysqli扩展提供的用于防止SQL注入的函数，它是mysql_real_escape_string函数的替代方案。mysqli扩展是PHP 5中引入的改进版MySQL扩展，支持面向对象和面向过程两种编程方式。

示例代码如下：

$conn = new mysqli("localhost", "root", "password", "test");
if ($conn->connect_error) {
    die("Connection failed: ". $conn->connect_error);
}
$username = $_POST['username'];
$password = $_POST['password'];
$username = $conn->real_escape_string($username);
$password = $conn->real_escape_string($password);
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = $conn->query($sql);

mysqli_real_escape_string函数的特点是结合了mysqli扩展的优势，不仅能够根据数据库的字符集正确转义字符串，还支持面向对象的编程方式，使用起来更加灵活。同时，由于mysqli扩展是PHP官方推荐的MySQL数据库扩展，具有更好的性能和安全性。

四、PDO::quote函数

PDO（PHP Data Objects）是PHP 5中引入的一个轻量级、一致性的数据库访问抽象层，它提供了统一的接口来访问不同类型的数据库。PDO::quote函数是PDO提供的用于防止SQL注入的函数，它会根据当前数据库的驱动程序和字符集对字符串进行转义，并在字符串两端添加引号。

示例代码如下：

try {
    $pdo = new PDO('mysql:host=localhost;dbname=test', 'root', 'password');
    $username = $_POST['username'];
    $password = $_POST['password'];
    $username = $pdo->quote($username);
    $password = $pdo->quote($password);
    $sql = "SELECT * FROM users WHERE username = $username AND password = $password";
    $result = $pdo->query($sql);
} catch(PDOException $e) {
    echo "Error: ". $e->getMessage();
}

PDO::quote函数的优点是具有良好的跨数据库兼容性，它可以根据不同的数据库驱动程序进行正确的转义，无论使用的是MySQL、SQLite还是其他支持PDO的数据库。此外，PDO还提供了预处理语句的功能，进一步提高了防止SQL注入的安全性。

五、预处理语句

预处理语句是一种更为安全和高效的防止SQL注入的方法，无论是mysqli扩展还是PDO都支持预处理语句。预处理语句的工作原理是将SQL语句和用户输入的数据分开处理，先将SQL语句发送到数据库服务器进行编译，然后再将用户输入的数据作为参数传递给编译好的语句，这样可以避免用户输入的数据对SQL语句的结构产生影响。

以下是使用mysqli扩展的预处理语句示例：

$conn = new mysqli("localhost", "root", "password", "test");
if ($conn->connect_error) {
    die("Connection failed: ". $conn->connect_error);
}
$username = $_POST['username'];
$password = $_POST['password'];
$stmt = $conn->prepare("SELECT * FROM users WHERE username =? AND password =?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

使用PDO的预处理语句示例：

try {
    $pdo = new PDO('mysql:host=localhost;dbname=test', 'root', 'password');
    $username = $_POST['username'];
    $password = $_POST['password'];
    $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
    $stmt->bindParam(':username', $username, PDO::PARAM_STR);
    $stmt->bindParam(':password', $password, PDO::PARAM_STR);
    $stmt->execute();
    $result = $stmt->fetchAll();
} catch(PDOException $e) {
    echo "Error: ". $e->getMessage();
}

预处理语句的优点是安全性高，能够彻底避免SQL注入的风险，同时还可以提高数据库的性能，因为编译好的SQL语句可以重复使用。

综上所述，在PHP中防止SQL注入有多种方法和函数可供选择。虽然早期的addslashes和mysql_real_escape_string函数有一定的局限性，但新的mysqli_real_escape_string、PDO::quote函数以及预处理语句提供了更安全、更高效的解决方案。在实际开发中，建议优先使用预处理语句，以确保应用程序的安全性。