在PHP中，可以使用預處理語句（prepare statement）來預防SQL注入攻擊。預處理語句可以在執行SQL查詢之前先準備好查詢語句，然后再傳遞參數給查詢語句，從而避免直接將用戶輸入的數據拼接到SQL查詢中。
下面是一個簡單的示例代碼，演示如何在PHP中使用預處理語句預防SQL注入：
// 創建數據庫連接
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "database";
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢查連接是否成功
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// 使用預處理語句來查詢數據
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param("s", $username);
// 設置參數并執行查詢
$username = $_POST['username'];
$stmt->execute();
// 獲取查詢結果
$result = $stmt->get_result();
// 遍歷結果集
while($row = $result->fetch_assoc()) {
// 處理結果
}
// 關閉查詢和連接
$stmt->close();
$conn->close();
在上面的示例代碼中，我們使用了預處理語句來查詢數據庫中的用戶數據。首先使用prepare方法準備查詢語句，然后使用bind_param方法綁定參數，最后執行查詢并獲取結果。
通過使用預處理語句，我們將用戶輸入的數據作為參數傳遞給查詢語句，而不是直接拼接到SQL查詢中，從而有效地預防了SQL注入攻擊。
