1. 使用参数化查询
   最基本的防止SQL注入的方法是使用参数化查询。即使用参数代替直接将用户输入拼接到SQL查询语句中。

举个例子，使用Python的MySQLdb模块，查询用户名为“pidancode.com”的用户：

import MySQLdb

username = "pidancode.com"

db = MySQLdb.connect(host="localhost", user="root", passwd="passwd", db="test")
cursor = db.cursor()

sql = "SELECT * FROM users WHERE username = %s"

cursor.execute(sql, (username,))

结果集可以使用fetchall方法获取：

results = cursor.fetchall()

for row in results:
print(row)

2. 过滤特殊字符
   当用户输入中包含特殊字符时，需要将其过滤，替换成安全的字符。比如，可以使用Python的re模块中的sub方法，将输入中的危险字符替换掉。

import re

username = "pi'dan'c_ode.com"

将单引号替换为空

username = re.sub(r"['\"]", "", username)

print(username)

3. 使用不可变数据类型
   Python中，字符串和元组都是不可变的数据类型。因此，在使用这些类型作为查询参数时，不会发生SQL注入攻击。

比如在查询用户输入的用户名和密码时：

import MySQLdb

username = "pidancode.com"
password = "123456"

db = MySQLdb.connect(host="localhost", user="root", passwd="passwd", db="test")
cursor = db.cursor()

sql = "SELECT * FROM users WHERE username = %s AND password = %s"

cursor.execute(sql, (username, password))

结果集可以使用fetchall方法获取：

results = cursor.fetchall()

for row in results:
print(row)

综上所述，可以通过使用参数化查询、过滤特殊字符和使用不可变数据类型等方式来防止SQL注入攻击。需要根据具体情况选择合适的方法来保证程序的安全性。