php连接mysqli数据库后，在对数据库进行查询或插入操作时，为了防止恶意访问，通常对输入的字符串进行转义。
mysqli_real_escape_string(connection,escapestring);
mysqli_escape_string(connection,escapestring);
这两个函数完全一致，后者是前者的别名而已，第一个参数为数据库连接，第二个参数为需转义的字符串,转义后可以放到sql语句中执行
// 转义用户名和密码，以便在 SQL 中使用
$user = mysqli_real_escape_string($user);
$pwd = mysqli_real_escape_string($pwd);
$sql = "SELECT * FROM users WHERE user=" . $user . "AND password=" . $pwd;
