PHP和SQL是目前非常流行的編程語言和數據庫技術，它們被廣泛應用于Web開發和管理系統的開發。然而，SQL注入攻擊是一個常見的安全問題，可以導致數據丟失和系統癱瘓。因此，開發人員需要編寫防注入函數來保護Web應用程序。
防注入函數可以幫助開發人員過濾用戶輸入，以確保SQL查詢是安全和合法的。下面是一些常見的PHP SQL注入攻擊：
1. 增加SQL查詢：
假設一個Web應用程序有一個搜索表格，用戶可以輸入其姓名或電子郵件地址進行搜索。如果用戶在搜索框中輸入' OR 1 = 1 –，查詢會變成：
SELECT * FROM users WHERE name = '' OR 1 = 1 --' AND email = ''
這將返回所有用戶的記錄，因為1 = 1總是為真。
2. 刪除表：
如果用戶在刪除表單上更改隱藏輸入，UserID = 123成為UserID = 123; DROP TABLE users;，查詢會變成：
DELETE FROM users WHERE UserID = 123; DROP TABLE users;
這將刪除用戶記錄并刪除用戶表。
為了防止這種類型的攻擊，我們可以使用防注入函數來清理輸入數據。以下是一些常見的防注入函數：
1. addslashes()：
該函數用于轉義字符串中的'，"，\和NUL字符。例如，$name = addslashes($_POST['name']);。
2. mysql_real_escape_string()：
該函數用于轉義字符串中的特殊字符，并將其轉換為安全查詢。例如，$name = mysql_real_escape_string($_POST['name']);。
3. PDO prepare和execute函數：
PDO（PHP Data Object）是PHP中處理數據庫的API。它提供了預處理語句，可以防止SQL注入攻擊。例如：
$stmt = $pdo->prepare('SELECT * FROM users WHERE name = :name AND email = :email');
$stmt->execute(['name' =>$name, 'email' =>$email]);
這將在執行查詢之前對用戶輸入進行處理。
雖然這些函數可以提供防注入保護，但是它們也有缺點。addslashes()函數不夠嚴密，可能會影響某些字符的格式。mysql_real_escape_string()函數需要數據庫連接，并且可能會產生效率問題。PDO方法是最安全和可靠的方法，但需要學習PDO語法。
在編寫防注入函數時，開發人員應該遵循如下最佳實踐：
1. 使用預處理語句：使用預處理語句可以防止SQL注入攻擊，同時提高代碼的可維護性和可擴展性。
2. 過濾輸入：過濾用戶輸入可以確保數據格式正確，從而防止攻擊。
3. 使用參數化查詢：參數化查詢可以防止注入攻擊，通常通過將傳遞給查詢語句的變量包含在查詢語句中，而不是將其作為查詢語句的一部分來實現。
在開發Web應用程序時，SQL注入攻擊是一個普遍的問題。使用防注入函數可以確保輸入數據是安全和合法的。然而，在選擇哪個函數使用時應該注意其優點和缺點，并遵循最佳實踐，以確保最佳性能和安全性。