在PHP中，可以使用预处理语句（prepare statement）来预防SQL注入攻击。预处理语句可以在执行SQL查询之前先准备好查询语句，然后再传递参数给查询语句，从而避免直接将用户输入的数据拼接到SQL查询中。
下面是一个简单的示例代码，演示如何在PHP中使用预处理语句预防SQL注入：
// 创建数据库连接$servername = "localhost";$username = "username";$password = "password";$dbname = "database";$conn = new mysqli($servername, $username, $password, $dbname);// 检查连接是否成功if ($conn->connect_error) { die("Connection failed: " . $conn->connect_error);}// 使用预处理语句来查询数据$stmt = $conn->prepare("SELECT * FROM users WHERE username = ?");$stmt->bind_param("s", $username);// 设置参数并执行查询$username = $_POST['username'];$stmt->execute();// 获取查询结果$result = $stmt->get_result();// 遍历结果集while($row = $result->fetch_assoc()) { // 处理结果}// 关闭查询和连接$stmt->close();$conn->close();在上面的示例代码中，我们使用了预处理语句来查询数据库中的用户数据。首先使用prepare方法准备查询语句，然后使用bind_param方法绑定参数，最后执行查询并获取结果。
通过使用预处理语句，我们将用户输入的数据作为参数传递给查询语句，而不是直接拼接到SQL查询中，从而有效地预防了SQL注入攻击。
