为了保证程序的健壮性，我们必须对用户输入的数据做有效性验证，防止用户恶意提交数据。

关于防止 sql 注入 我主要从三个方面入手：

1、确认为正整数的，强制转化为int，$id  =$_GET('id'):$_GET('id'):1;

2，文本类型。若magic_quotes_gpc开启，就不出处理，否则，addslashes 一下，在不判断magic_quotes_gpc 是否开启的情况下，就转义，会造成文本内多次出现“\”，

3，对于一些边界值的处理比如 负数，或者0，等等，超出范围的情况下，要指定默认值，防止拼接后语句出现错误。

4，变量要加引号，不要图省事