防止sql注入mysql_real_escape_string

本函数将 string 中的特殊字符转义，并考虑到连接的当前字符集，因此可以安全用于 mysql_query()。
mysql_real_escape_string() 并不转义 % 和 _。
可使用本函数来预防数据库攻击。