根本原因是特殊字符破坏SQL语法结构，应使用参数化查询（MySQLi的prepare/bind_param或PDO的prepare/execute）；addslashes()因不兼容字符集和SQL方言而不可靠；PDO需设utf8mb4、显式传null类型、LIKE通配符须手动转义。
PHP中SQL查询里的单引号、反斜杠怎么不出错
直接拼接字符串进SQL语句，遇到用户输入的 '、\、" 就会报错或被注入。根本原因不是“字符特殊”，而是这些字符破坏了SQL语法结构——比如 O'Reilly 会让MySQL把 O' 当成字符串开头，后面没闭合就报错。
最稳妥的做法是不手动转义，改用参数化查询：
- MySQLi：用
prepare()+bind_param() - PDO：用
prepare()+execute()（传数组） - 绝对不要用已废弃的
mysql_real_escape_string()
如果非得用字符串拼接（比如动态表名/字段名不能参数化），才考虑 mysqli_real_escape_string()，且必须在建立连接后调用，否则返回 false。
为什么addslashes()不能用于SQL安全防护
addslashes() 只加反斜杠，不考虑当前连接的字符集和SQL方言，对多字节编码（如GBK）存在绕过风险。它设计初衷是处理PHP字符串输出到HTML或文件，不是防SQL注入。
立即学习“PHP免费学习笔记（深入）”；
典型失败场景：
- 数据库连接用
SET NAMES gbk，而addslashes()不识别该上下文 - 输入为
%A1%AA（GBK编码的′），可能被MySQL误解析为单引号 - PostgreSQL、SQLite 等不认
\'这种转义形式
换句话说：addslashes() 和 SQL 安全之间没有可靠映射关系。
