无法使用预处理语句时，如何用PHP和MySQLi正确转义还原字符串？

首先，先解决你遇到的斜杠丢失问题：
real_escape_string本身的作用是转义SQL特殊字符（包括斜杠\，会被转成\\），这样数据库会将转义后的内容解析回原始字符串存储。如果出现斜杠丢失，大概率是这两个原因之一：

• 你在存储后取出数据时，额外调用了stripslashes之类的函数，误删了原本的斜杠；
• 你的环境存在自动转义机制（比如旧PHP版本的magic_quotes_gpc），导致你调用real_escape_string时发生了双重转义，存储后的数据里的斜杠变成了\\\\，取出后如果处理不当就会全部丢失。

接下来回答你核心的问题：在无法使用预处理语句的情况下，这种方案是否完全正确？

答案是：没有任何方案能完全替代预处理语句的安全性，但如果必须采用字符串转义的方式，正确使用real_escape_string是当前最可靠的替代方案，但你必须严格遵守以下规则，才能保证它的有效性：

• 必须在建立数据库连接之后调用：real_escape_string依赖当前数据库连接的字符集设置，连接前调用会完全失效；
• 保证字符集一致：数据库连接的字符集（比如SET NAMES utf8mb4）必须和你的输入/页面字符集完全匹配，否则转义会出现漏洞；
• 禁止双重转义：如果你的环境有自动转义（比如magic_quotes），必须先调用stripslashes清除自动添加的斜杠，再调用real_escape_string；
• 只用于SQL语句的字符串值：real_escape_string只能用来处理SQL语句中的字符串类型参数，不能用于数字、标识符（表名/列名）等其他类型，否则依然存在风险。

举个正确的使用示例（以PHP为例）：

// 先建立数据库连接
$conn = mysqli_connect($host, $user, $pass, $db);
// 设置字符集（必须和输入字符集一致）
mysqli_set_charset($conn, 'utf8mb4');

// 处理输入：如果有自动转义，先清除
if (get_magic_quotes_gpc()) {
    $user_input = stripslashes($_POST['input']);
} else {
    $user_input = $_POST['input'];
}

// 正确转义后拼接SQL
$escaped_input = mysqli_real_escape_string($conn, $user_input);
$sql = "INSERT INTO your_table (content) VALUES ('$escaped_input')";
$result = mysqli_query($conn, $sql);

最后再提醒一句：如果有任何可能，还是尽量切换到预处理语句（参数绑定），这是防止SQL注入的黄金标准，转义方式始终存在边缘情况的风险（比如字符集不匹配导致的绕过）。

内容的提问来源于stack exchange，提问作者user3523426