为了避免 SQL 注入，您应该使用预处理语句（prepared statements）和参数化查询。在 PHP 中，可以使用 PDO (PHP Data Objects) 或 MySQLi 扩展来实现这一目标。
以下是使用 PDO 和预处理语句的示例：
<?php// 连接数据库$dsn = 'mysql:host=localhost;dbname=mydatabase';$username = 'myuser';$password = 'mypassword';$options = array( PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION, PDO::ATTR_EMULATE_PREPARES => false);$pdo = new PDO($dsn, $username, $password, $options);// 使用预处理语句和参数化查询来避免 SQL 注入$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");$stmt->execute(['email' => $email]);$result = $stmt->fetchAll(PDO::FETCH_ASSOC);foreach ($result as $row) { // 处理结果集}?>在上面的示例中，我们使用了预处理语句和参数化查询来绑定 email 参数。这样可以确保用户提供的数据不会被解释为 SQL 代码，从而避免了 SQL 注入攻击。
请注意，您需要根据自己的数据库配置修改 $dsn、$username 和 $password 变量。同时，确保已安装并启用 PDO 扩展。
