在PHP中防止SQL注入的方法主要包括：
使用预处理语句（Prepared Statements）
准备SQL语句，使用`mysqli_prepare（）`或`PDO::prepare（）`函数。
绑定参数，使用`mysqli_stmt_bind_param（）`或`PDO::bindParam（）`函数。
执行预处理语句，使用`mysqli_stmt_execute（）`或`PDO::execute（）`函数。
使用转义字符
使用`mysqli_real_escape_string（）`或`PDO::quote（）`函数对用户输入进行转义，防止特殊字符被解释为SQL命令。
参数化查询
将用户输入作为参数传递，而不是直接拼接到SQL语句中。
白名单过滤
只允许预定义的字符或值输入到SQL查询中。
输入验证
使用正则表达式、类型检查等技术确保用户输入符合预期格式。
限制数据库用户权限
确保数据库用户仅具有执行查询所需的权限，避免拥有过多的权限。
定期更新和维护
定期更新数据库和应用软件，及时打补丁和修复已知漏洞。
使用ORM框架
使用如Laravel、CakePHP等对象关系映射（ORM）工具，自动处理SQL语句和参数化查询。
关闭magic_quotes_gpc
在php.ini中关闭magic_quotes_gpc，避免自动转义带来的潜在问题。
自定义安全检查函数
如`inject_check（）`函数，使用`eregi（）`等函数进行自定义的安全检查。
通过上述方法，可以大大降低SQL注入的风险。请根据您的具体情况选择合适的方法来保护您的应用程序