在PHP开发中，SQL注入是一种常见且危险的安全漏洞。攻击者可以通过构造恶意的SQL语句，绕过应用程序的输入验证，执行非法的数据库操作，从而获取、篡改或删除数据库中的敏感信息。为了有效防止SQL注入，PHP提供了一系列重要的函数。本文将对这些函数进行详细的汇总和介绍。

1. mysqli_real_escape_string()函数

mysqli_real_escape_string()函数是PHP中用于防止SQL注入的基本函数之一，它主要用于转义特殊字符，以确保输入的数据可以安全地用于SQL查询。该函数适用于使用MySQLi扩展连接数据库的情况。

示例代码如下：

// 建立数据库连接
$mysqli = new mysqli("localhost", "username", "password", "database");

// 检查连接是否成功
if ($mysqli->connect_error) {
    die("连接失败: ". $mysqli->connect_error);
}

// 待转义的用户输入
$username = $_POST['username'];
$escaped_username = $mysqli->real_escape_string($username);

// 构造安全的SQL查询
$sql = "SELECT * FROM users WHERE username = '$escaped_username'";
$result = $mysqli->query($sql);

if ($result->num_rows > 0) {
    // 处理查询结果
    while($row = $result->fetch_assoc()) {
        echo "用户名: ". $row["username"]. "
";
    }
} else {
    echo "未找到匹配的记录";
}

// 关闭数据库连接
$mysqli->close();

在上述代码中，我们首先建立了与数据库的连接，然后使用mysqli_real_escape_string()函数对用户输入的用户名进行转义，最后构造并执行安全的SQL查询。这样可以防止攻击者通过输入特殊字符来改变SQL语句的原意。

2. PDO::quote()函数

PDO（PHP Data Objects）是PHP中一个用于访问数据库的抽象层，它提供了统一的接口来操作不同类型的数据库。PDO::quote()函数用于对字符串进行转义，并在其周围添加引号，以确保该字符串可以安全地用于SQL查询。

示例代码如下：

try {
    // 建立PDO数据库连接
    $pdo = new PDO('mysql:host=localhost;dbname=database', 'username', 'password');
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 待转义的用户输入
    $email = $_POST['email'];
    $escaped_email = $pdo->quote($email);

    // 构造安全的SQL查询
    $sql = "SELECT * FROM users WHERE email = $escaped_email";
    $stmt = $pdo->query($sql);

    while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
        echo "邮箱: ". $row["email"]. "
";
    }
} catch(PDOException $e) {
    echo "错误: ". $e->getMessage();
}

在这个例子中，我们使用PDO建立了与数据库的连接，然后使用PDO::quote()函数对用户输入的邮箱进行转义，最后构造并执行安全的SQL查询。PDO::quote()函数会自动处理不同数据库系统的转义规则，提高了代码的可移植性。

3. mysqli_prepare()和mysqli_stmt_bind_param()函数

使用预处理语句是防止SQL注入的更安全和推荐的方法。mysqli_prepare()函数用于准备一个SQL语句，而mysqli_stmt_bind_param()函数用于将变量绑定到预处理语句中的参数。

示例代码如下：

// 建立数据库连接
$mysqli = new mysqli("localhost", "username", "password", "database");

// 检查连接是否成功
if ($mysqli->connect_error) {
    die("连接失败: ". $mysqli->connect_error);
}

// 待处理的用户输入
$password = $_POST['password'];

// 准备SQL语句
$sql = "SELECT * FROM users WHERE password = ?";
$stmt = $mysqli->prepare($sql);

// 绑定参数
$stmt->bind_param("s", $password);

// 执行查询
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    // 处理查询结果
    while($row = $result->fetch_assoc()) {
        echo "密码: ". $row["password"]. "
";
    }
} else {
    echo "未找到匹配的记录";
}

// 关闭语句和连接
$stmt->close();
$mysqli->close();

在上述代码中，我们首先准备了一个带有占位符（?）的SQL语句，然后使用mysqli_stmt_bind_param()函数将用户输入的密码绑定到占位符上，最后执行查询。预处理语句会自动处理参数的转义，从而有效地防止SQL注入。

4. PDO预处理语句

PDO也支持预处理语句，使用PDO预处理语句可以更方便地防止SQL注入。通过PDOStatement::bindParam()或PDOStatement::bindValue()方法可以将变量绑定到预处理语句中的参数。

示例代码如下：

try {
    // 建立PDO数据库连接
    $pdo = new PDO('mysql:host=localhost;dbname=database', 'username', 'password');
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 待处理的用户输入
    $phone = $_POST['phone'];

    // 准备SQL语句
    $sql = "SELECT * FROM users WHERE phone = :phone";
    $stmt = $pdo->prepare($sql);

    // 绑定参数
    $stmt->bindParam(':phone', $phone, PDO::PARAM_STR);

    // 执行查询
    $stmt->execute();
    $result = $stmt->fetchAll(PDO::FETCH_ASSOC);

    foreach ($result as $row) {
        echo "电话号码: ". $row["phone"]. "
";
    }
} catch(PDOException $e) {
    echo "错误: ". $e->getMessage();
}

在这个例子中，我们使用PDO建立了数据库连接，准备了一个带有命名占位符（:phone）的SQL语句，然后使用PDOStatement::bindParam()方法将用户输入的电话号码绑定到占位符上，最后执行查询。PDO预处理语句会自动处理参数的转义，确保输入数据的安全性。

5. htmlspecialchars()函数（辅助防止XSS和SQL注入）

虽然htmlspecialchars()函数主要用于防止跨站脚本攻击（XSS），但在某些情况下也可以辅助防止SQL注入。它可以将特殊字符转换为HTML实体，从而避免这些字符在SQL查询中产生意外的影响。

示例代码如下：

// 待处理的用户输入
$input = $_POST['input'];
$safe_input = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');

// 后续可以结合其他防止SQL注入的方法使用
// 例如使用mysqli_real_escape_string()
$mysqli = new mysqli("localhost", "username", "password", "database");
$escaped_input = $mysqli->real_escape_string($safe_input);

在上述代码中，我们首先使用htmlspecialchars()函数对用户输入进行处理，将特殊字符转换为HTML实体，然后再使用mysqli_real_escape_string()函数进行进一步的转义，以提高数据的安全性。

综上所述，PHP提供了多种防止SQL注入的函数和方法。在实际开发中，建议优先使用预处理语句（如mysqli预处理语句和PDO预处理语句），因为它们可以更安全、更方便有效地防止SQL注入。同时，结合使用其他辅助函数，如htmlspecialchars()，可以进一步提高应用程序的安全性。通过合理使用这些函数，开发者可以有效地保护数据库免受SQL注入攻击的威胁。