MSSQL injection是一种常见的Web攻击形式，通过对POST或GET请求的参数进行恶意注入，攻击者可以向数据库发送非法命令，从而获取敏感信息或者进行不当操作。在PHP开发中，变量拼接SQL语句是一种常见的操作方式，不当的实现方式会让应用程序面临MSSQL注入攻击。 举个例子，假设有一个商品列表网站，查询商品列表需要根据用户输入的关键字进行模糊匹配。对于此功能，很多PHP开发人员会这么写SQL语句。

$keyword = $_GET['keyword'];
$sql = "SELECT * FROM goods WHERE name LIKE '%".$keyword."%'";

这段代码的本意是根据用户输入的关键字进行模糊查询，但是其中存在注入漏洞，攻击者可以通过关键字拼接恶意代码。 比如输入"1' OR 1=1 --"，那么最后生成的SQL语句就是这样的。

SELECT * FROM goods WHERE name LIKE '%1' OR 1=1 --%'

这样就可以绕过WHERE条件，查询到数据库中的所有记录。攻击者可以通过这种方式泄露敏感信息，或者进行不当操作。 为了防止MSSQL注入攻击，我们需要使用参数化查询。它可以将用户输入的数据和SQL语句分开处理，从而避免注入攻击。以下是一个使用参数化查询的例子。

$keyword = $_GET['keyword'];
$params = array('%'.$keyword.'%');
$stmt = sqlsrv_prepare($conn, "SELECT * FROM goods WHERE name LIKE ?", $params);
$result = sqlsrv_execute($stmt);
while ($row = sqlsrv_fetch_array($result)) {
echo $row['name'];
}

在这个例子中，我们使用了参数化查询，将用户输入的数据和SQL语句分开处理。其中，$params是一个数组，用来存储SQL语句中的参数。$stmt是使用sqlsrv_prepare()函数生成的预处理对象，调用sqlsrv_execute()函数执行查询，最后使用sqlsrv_fetch_array()函数获取查询结果。 总的来说，防范MSSQL注入攻击需要重视输入验证和参数化查询。为了提高安全性，需要对开发人员进行安全培训，大力推广安全编码标准，从而降低应用程序面临的攻击风险。