1、string mysql_real_escape_string ( string unescaped_string [， resource link_identifier])本函数将 unescaped_string 中的特殊字符转义，并计及连接的当前字符集，因此可以安全用于 mysql_query()。
成都创新互联专注于怀宁企业网站建设,成都响应式网站建设,商城网站定制开发。怀宁网站建设公司,为怀宁等地区提供建站服务。全流程定制网站，专业设计，全程项目跟踪，成都创新互联专业和态度为您提供的服务
2、display_errors 选项，应该设为 display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。
3、array_merge($HTTP_POST_VARS，$HTTP_GET_VARS)；这个方法里面的第一个参数不是数组，这很明显的说了啊。
4、防sql注入 先对提交数据中的危险字符过滤或编码。比如：名称或帖子标题，一定不能是html，直接进行htmlencode ，最后输出到页面上，也不会变成html，而是显示原始字符。
5、位址列禁止特殊字元防SQL注入 把特殊字元（如and、or、、）都禁止提交就可以防止注入了。
6、没有抓包软件抓不到的。只有是抓到能不能给抓包软件识别出是不是正常代码而已。例如HTTPS协议，或者加如证书。或者加密了之后再GET，POST。
首先命药明白POST，GRT，COOKIE，其实它是一个数组。
string mysql_real_escape_string ( string unescaped_string [， resource link_identifier])本函数将 unescaped_string 中的特殊字符转义，并计及连接的当前字符集，因此可以安全用于 mysql_query()。
通过禁用这个设置，PHP 强迫您在正确的名称空间中引用正确的变量。要使用来自表单 POST 的变量，应该引用 $_POST[variable]。这样就不会将这个特定变量误会成 cookie、会话或 GET 变量。
应该是调用，在页面传值进来时进行调用；如：id = unsqlin($_post[传入框的名字])；要是防SQL注入，其实可以使用mysql_escape_string（）这个函数。方法和上面的一样。
1、string mysql_real_escape_string ( string unescaped_string [， resource link_identifier])本函数将 unescaped_string 中的特殊字符转义，并计及连接的当前字符集，因此可以安全用于 mysql_query()。
2、地址栏禁止特殊字符防SQL注入 把特殊字符（如and、or、、）都禁止提交就可以防止注入了。
3、Thinkphp内置了数据过滤机制。可以有效的将一些存在风险的符号过滤处理。具体如下：Thinkphp2版本：使用I方法来获取post、get等参数。例如获取id参数。