PHP查询数据库，mysqli_real_escape_string可以替换为其他函数吗？

mysqli_real_escape_string是一个内置的PHP函数，是较为常用的防止SQL注入攻击的方法之一。替换为其他函数，要求具有将特殊字符进行转义的功能，例如可以使用PDO中的PDO::quote函数和bindParam方法实现相同的效果。另外还可以使用addslashes函数进行转义。

以下是使用PDO和addslashes函数的示例代码：

使用PDO的示例代码：

// 数据库连接
$host = 'localhost';
$user = 'username';
$pass = 'password';
$dbName = 'database_name';
$dsn = "mysql:host=$host;dbname=$dbName;charset=utf8mb4";
$options = [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
];
$pdo = new PDO($dsn, $user, $pass, $options);

// 防止SQL注入
if ($_SERVER['REQUEST_METHOD'] == 'POST') {
  $username = $_POST['username'];
  $password = $_POST['password'];
  
  $username = $pdo->quote($username);
  $password = $pdo->quote($password);

  $sql = "SELECT * FROM users WHERE username=$username AND password=$password";
  $stmt = $pdo->query($sql);
  $result = $stmt->fetchAll(PDO::FETCH_ASSOC);

  // 处理查询结果
}

在上述代码中，我们使用PDO::quote函数将输入的字符串中的特殊字符进行了转义，可以安全地用于构造SQL语句。

使用addslashes的示例代码：

// 数据库连接
$host = 'localhost';
$user = 'username';
$pass = 'password';
$dbName = 'database_name';
$db = mysqli_connect($host, $user, $pass, $dbName);
if (!$db) {
  die("无法连接到数据库: " . mysqli_connect_error());
}

// 防止SQL注入
if ($_SERVER['REQUEST_METHOD'] == 'POST') {
  $username = addslashes($_POST['username']);
  $password = addslashes($_POST['password']);

  $sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";
  $result = mysqli_query($db, $sql);

  // 处理查询结果
}

在上述代码中，我们使用了addslashes函数将输入的字符串中的特殊字符进行了转义，可以安全地用于构造SQL语句。需要注意的是，addslashes函数有一定的局限性，在某些情况下可能无法完全避免SQL注入攻击，因此不建议作为防止SQL注入攻击的唯一手段。