sql注入

1、mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。
下列字符受影响：
\x00
\n
\r
\
'
"
\x1a
如果成功，则该函数返回被转义的字符串。如果失败，则返回 false。

2、打开magic_quotes_gpc来防止SQL注入
php.ini中有一个设置：magic_quotes_gpc = Off
这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，
比如把 ' 转为 \'等，对于防止sql注射有重大作用。
如果magic_quotes_gpc=Off，则使用addslashes()函数。