已成功连接服务器与数据库，但mysqli_real_escape_string()函数报错求助

咱们直接拆解你遇到的问题：

错误根源 #

1. 参数传递完全错误：你调用mysqli_real_escape_string()时，错误地把'mysqli $link'和'string $str'当成字符串传进去了——这个函数的第一个参数必须是有效的mysqli连接实例，第二个参数才是要转义的目标字符串，你写的这种带引号的写法完全不符合函数要求，这就是报错的直接原因。
2. 变量作用域问题：就算你参数写法对了，clean函数里也没法直接访问外部的$link变量，因为函数有自己的局部作用域，直接用会导致$link未定义，照样会报错。

解决步骤 #

1. 修正函数调用的参数写法 #

先把错误的参数写法改掉，去掉多余的引号和类型提示，正确的调用格式是：

mysqli_real_escape_string($link, $str);

2. 解决$link的作用域问题 #

有两种实用的方式让函数能拿到连接对象：

• 推荐：把$link作为参数传入函数
  这是最规范的做法，避免全局变量带来的耦合问题。修改后的clean函数如下：

  function clean($link, $str) { 
      $str = trim($str); // 去掉@错误抑制符，开发阶段保留错误提示更利于排查
      if(get_magic_quotes_gpc()) { 
          $str = stripslashes($str); 
      } 
      return mysqli_real_escape_string($link, $str); 
  }
  

  调用的时候记得传入连接对象，比如$cleaned_username = clean($link, $_POST['username']);。

• 可选：用global声明全局变量
  如果不想改函数参数，可以在函数内部声明$link为全局变量：

  function clean($str) { 
      global $link; // 声明使用外部的全局$link变量
      $str = trim($str); 
      if(get_magic_quotes_gpc()) { 
          $str = stripslashes($str); 
      } 
      return mysqli_real_escape_string($link, $str); 
  }
  

  不过这种方式不推荐，全局变量会让代码的依赖关系变模糊，后期维护起来麻烦。

额外优化建议 #

• 去掉所有@错误抑制符：@会掩盖错误细节，开发阶段保留错误提示能帮你更快定位问题。
• 优先使用预处理语句：手动转义字符串虽然能防注入，但预处理语句是更安全可靠的方案，能彻底避免手动转义的疏漏。举个简单例子：

  // 准备预处理语句
  $stmt = mysqli_prepare($link, "INSERT INTO your_table (column) VALUES (?)");
  // 绑定参数（"s"表示字符串类型）
  mysqli_stmt_bind_param($stmt, "s", $your_value);
  // 执行语句
  mysqli_stmt_execute($stmt);
  

内容的提问来源于stack exchange，提问作者Sumith Chalil