定义和用法
该mysql_real_escape_string （ ）函数越狱特殊字符的字符串中使用SQL语句

以下字符的影响：

 x00
n
r

'
"
x1a

语法:

这个函数返回字符串过滤成功，或FALSE的失败

mysql_real_escape_string(string,connection)

参数说明string:必需。指定字符串进行转义connection:可选。指定MySQL连接。如果没有指定，最后连接开幕mysql_connect （ ）或mysql_pconnect （ ）的使用。 来看看实例. $user = mysql_real_escape_string($user);
$pwd = mysql_real_escape_string($pwd);$sql = "SELECT * FROM users WHERE
user='" . $user . "' AND password='" . $pwd . "'"

// more code

mysql_close($con);

示例2 数据库的攻击。这个例子表明会发生什么，如果我们不使用mysql_real_escape_string （ ）函数的用户名和密码：$_POST['user'] = 'john';
$_POST['pwd'] = "' OR ''='";这样就容易被sql注入