什么时候来自PHP表单的用户输入变得有害？

注意：我在我的真实代码中使用准备好的语句，这是一个一般性问题

如果用户输入<代码>罗伯特'；删除表用户--。。。或者类似的，代码什么时候删除我的用户表

在变量启动时

何时将输入插入表中

何时将输入从数据库调用回网站 我想知道何时/是否应该使用以下函数

mysqli\u real\u escape\u字符串

或

htmlspecialchars

---

欢迎任何反馈/批评。谢谢。

不要逃避您的数据，始终使用准备好的语句。Prepared语句用于数据进入数据库以防止数据操纵，如删除表、添加额外用户等。htmlspecialchars用于数据返回，以防止XSS攻击。您能否举例说明如何编写此代码？

$username = $_POST['username'];

$sql = "INSERT INTO users (username) VALUES ($username);

echo "$_GET['username']";