使用PDO（PHP数据对象）连接到MySQL数据库。此方法将确保所有数据库输入将始终被视为文本字符串，并且您将不必进行任何手动转义。
结合正确使用html_entities（）来显示数据库中的数据 ，
这是保护您的页面免于注入的一种可靠的好方法。我总是使用PDO处理项目中的所有数据库连接。
创建数据库对象（在这种情况下，实施某种字符编码）：
try { $db = new PDO("mysql:host=[hostname];dbname=[database]",'[username]','[password]'); $db->setAttribute(PDO::MYSQL_ATTR_INIT_COMMAND, "SET NAMES utf8"); $db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION); $db->exec('SET NAMES utf8');} catch (PDOException $e) { echo $e->getMessage();}然后像这样使用它：
$id = 1;$q = $db->prepare('SELECt * FROM Table WHERe id = ?');$q->execute(array($id));$row = $q->fetch();echo $row['Column_1'];要么
$q = $db->prepare('UPDATe Table SET Column_1 = ?, Column_2 = ? WHERe id = ?');$q->execute(array('Value for Column_1','Value for Column_2',$id));和通配符：
$search = 'John';$q = $db->prepare('SELECT * FROM Table WHERe Column_1 LIKE ?');$q->execute(array('%'.$search.'%'));$num = $q->rowCount();if ($num > 0) { while ($row = $q->fetch()) { echo $row['Column_1']; }} else { echo "No hits!";}阅读更多：
如何防止PHP中进行SQL注入？
什么时候不使用准备好的语句？
PDO准备好的陈述有多安全
http://php.net/manual/zh/book.pdo.php
