首先需要先把带有中文的字符串进行编码转化，由GB2312编码转化为UTF-8编码。
我们提供的服务有：成都做网站、网站建设、微信公众号开发、网站优化、网站认证、丰泽ssl等。为1000多家企事业单位解决了网站和推广的问题。提供周到的售前咨询和贴心的售后服务，是有科学管理、有技术的丰泽网站制作公司
htmlspecialchars($_POST[字段])，用这个函数就可以将一些特殊字符进行过滤转义。你可以去看看这个函数的说明。
我给楼主吧- - 首先是过滤html，将html编码转换为实体编码 / 将特殊字符转成 HTML 格式。
PHP过滤或者替换字符串的方法很多，比如可以用正则表达式替换。如果能确定要过滤或替换的字符或字符串的值时，可以用str_replace ()函数。
这个查询总是返回计数值 1，因此 PHP 会允许进行访问。通过在密码字符串的末尾注入某些恶意 SQL，黑客就能装扮成合法的用户。解 决这个问题的办法是，将 PHP 的内置 mysql_real_escape_string() 函数用作任何用户输入的包装器。
简单起见，对于文本串，我将用户输入的所有危险字符（包括HTML代码），全部转义。由于php 函数 addslashes()存在漏洞，我用str_replace()直接替换。
不过SQL注入也不是什么可怕的东西。例如对于要获取的数值数据，使用intval()过直接(int) $str；就可杜绝。对于字符变量就要注意了，要认真设置好数据库编码等等。如果有好的编程习惯，注入什么的都不会怕滴。
一般只要不允许$name有特殊符号（、、`）就能防止注入，注入是必须要引号的。
你可以使用内置的addslashes函数，或者使用我下面自己封装的函数，把$_GET 或者 $_POST的值做处理。
如果您通过网页获取用户输入的数据并将其插入一个MySQL数据库，那么就有可能发生SQL注入安全的问题。本章节将为大家介绍如何防止SQL注入，并通过脚本来过滤SQL中注入的字符。
1、创建名为WordFilter类，实现Filter接口。WordFilter类：实现Filter接口中的init()方法、doFilter()方法（在此获取页面提交的内容）、destroy()方法。WordFilter类：在类中编写filter()方法，对提交的内容逐一过滤。
2、htmlentities的作用：有时候，程序在处理字符串变量的时候，可能会因为字符串变量中含这些特殊字符，从而会引发的程序运行出错甚至页面注入攻击等问题。当我们不希望出现变量里出现特定字符时使用它来过滤。
3、/’， ‘ ‘， $str)；// 最后将非空格替换为一个空格 使用上面的例子可以去掉所有多余的空格。首先使用TRim()去头尾空格，接着用preg_replace()去掉重复的空格。
4、urldecode — 解码已编码的 URL 字符串，解码给出的已编码字符串中的任何 %##。返回解码后的字符串。
