é "mysqli_real_real_scape_string" de mysqli contra ataques sql? No entanto, conforme indicado por Uri2x, essa medida é inadequada. Ataques de injeção. Por exemplo, o código a seguir ainda pode ser vulnerável:

em vez de "mysqli_real_escape_string ()", a maneira mais eficaz de impedir a injeção de SQL é empregar declarações preparadas. As instruções preparadas separam os dados da sequência de consulta, impedindo a contaminação dos dados. $ stmt-> bind_param ('ss', $ email, $ PSW); $ email = mysqli_real_escape_string ($ db_con, $ _post ['email']); $ PSW = mysqli_real_escape_string ($ db_con, $ _post ['PSW']); $ stmt-> Execute ();

$email = mysqli_real_escape_string($db_con, $_POST['email']);
$query = "SELECT * FROM users WHERE email = '" . $email . "'";