Đối với các tham số thoát để đi vào truy vấn SQL thì bạn không sử dụng dấu gạch chéo, nhưng mysql_real_escape_string .
Ví dụ:
<?php
$param = mysql_real_escape_string($_GET['param']);
$query = "SELECT f1, f2 FROM atable WHERE f3 = '$param' ";
// these single quotes here are essential !! ^ ^
// if you leave out the quotes you **will** suffer SQL-injection.
Đây là cách chính xác để thoát các tham số SQL.
Hoặc thậm chí tốt hơn là sử dụng PDO với các câu lệnh đã chuẩn bị sẵn, sau đó bạn không cần phải thoát nữa.
