本文目录一览：
php怎样使用参数化防止sql注入
可以使用php的pdo对象，有预处理查询功能可以防止注入，再有，注入sql无非就是基于你sql的拼接问题影响的执行sql，也可以不用pdo预处理，把获取查询的参数里面的非法字符比如单引号双引号等这些字符手动过滤也可以的
浅谈：在PHP中该怎样防止SQL注入
使用预处理语句和参数化查询。
禁止使用拼接sql语句，和参数类型验证，就可以完全避免sql注入漏洞！
预处理语句和参数分别发送到数据库服务器进行解析，参数将会被当作普通字符处理。这种方式使得攻击者无法注入恶意的SQL。 你有两种选择来实现该方法：
1、使用PDO：
$stmt=$pdo-prepare('SELECT * FROM employees WHERE name = :name');
$stmt-execute(array('name'=$name));
foreach($stmtas$row) {
// do something with $row
}
2、使用mysqli：
$stmt = $dbConnection-prepare('SELECT * FROM employees WHERE name = ?');
$stmt-bind_param('s', $name);
$stmt-execute();
$result = $stmt-get_result();
while($row = $result-fetch_assoc()) {
// do something with $row
}
PHP预处理MYSQL参数化查询是这样的吗？
$query=sprintf("SELECT * FROM Users where UserName='%s' and Password='%s'",
mysql_real_escape_string($Username),
mysql_real_escape_string($Password));
mysql_query($query);
或是
$db=new mysqli("localhost","user","pass","database");
$stmt=$mysqli-prepare("SELECT priv FROM testUsers WHERE username=? AND password=?");
$stmt-bind_param("ss",$user,$pass);
$stmt-execute();
