如何在PHP中使用用户输入和输出函数进行数据转义和安全处理？

$input = $_POST['input'];
$blacklist = '/select|insert|update|delete|drop/i';

if (preg_match($blacklist, $input)) {
    // 非法输入，进行相应的处理
} else {
    // 合法输入，进行后续操作
}

$input = $_POST['input'];
$whitelist = '/^[a-zA-Z0-9_]+$/';

if (!preg_match($whitelist, $input)) {
    // 非法输入，进行相应的处理
} else {
    // 合法输入，进行后续操作
}

$input = $_POST['input'];
$escaped_input = mysqli_real_escape_string($conn, $input); // $conn为数据库连接对象

// 使用转义后的输入进行后续操作

$output = "<script>alert('XSS');</script>";
$escaped_output = htmlspecialchars($output);

echo $escaped_output; // <script>alert('XSS');</script>

$output = "https://example.com/?param=abc xyz";
$escaped_output = urlencode($output);

echo $escaped_output; // https%3A%2F%2Fexample.com%2F%3Fparam%3Dabc%20xyz

$input = $_POST['input'];
$stmt = $conn->prepare('INSERT INTO table (column) VALUES (?)');
$stmt->bind_param('s', $input); // 's'表示字符串类型
$stmt->execute();

$input = $_POST['input'];
$stmt = $conn->prepare('INSERT INTO table (column) VALUES (:input)');
$stmt->bindParam(':input', $input, PDO::PARAM_STR); // PDO::PARAM_STR表示字符串类型
$stmt->execute();