sql 注入

select * from `XWD_userlist` WHERE `username` = ' ' or 1#' and password = 'sndasdnalskd'

如上就是一条SQL注入语句
用户在登录的时候，做一些非法输入，如username 用户栏输入 ：' or #
就能形成sql注入。
如何防止sql注入
php层加 addslashes();
如：username = addslashes(addslashes);
这样SQL语句就变成了下面的格式：

select * from `XWD_userlist` WHERE `userid` = ' \' or 1#' and password = 'sndasdnalskd'