+https://websitebeaver.com/prepared-statements-in-php-mysqli-to-prevent-sql-injection

ไม่ปลอดภัย
$name = $_POST['name'];
$mysqli->query("SELECT * FROM myTable WHERE name='$name'");

ปลอดภัย

$name = $mysqli->real_escape_string($_POST['name']);
$mysqli->query("SELECT * FROM myTable WHERE name='$name'");

หมายเหตุ
PHP มีการเขียน 2-3 แบบ

อื่นๆ

+https://www.formget.com/sql-injection-prevention-in-php-with-mysqli/

+https://www.formget.com/php-rest-api/

4 วิธี

+http://www.lionblogger.com/ways-to-prevent-sql-injection-attacks-in-php/