由 dawei SQL注入是PHP网站最常见且危害极大的安全漏洞，攻击者通过构造恶意SQL语句，绕过登录验证、窃取数据库内容甚至删除全部数据。站长若仍使用拼接字符串方式执行查询，如`\”SELECT FROM user WHERE id = \” . $_GET[‘id’]`，风险极高。
AI设计，仅供参考
核心防御手段是使用PDO预处理语句。它将SQL结构与数据严格分离：先准备带占位符的语句，再独立绑定参数。数据库引擎会将绑定值视为纯数据，绝不解析为SQL逻辑。示例：`$stmt = $pdo->prepare(\”SELECT name FROM users WHERE id = ?\”); $stmt->execute([$_GET[‘id’]]);`——即使传入`1 OR 1=1`，也只会当作一个整数查找，无法触发注入。
过滤函数如`mysql_real_escape_string()`（已废弃）或`addslashes()`不可靠，它们依赖字符集设置，且在某些上下文中仍可能被绕过。同理，前端JavaScript校验仅作体验优化，后端必须做完整防护，切勿信任任何客户端输入。
对于动态表名、字段名等无法参数化的场景，必须使用白名单机制。例如用户选择排序字段，只允许`[‘id’, ‘name’, ‘created_at’]`中的值，用`in_array()`严格校验，拒绝一切未声明的输入。
错误信息泄露是攻击者的“导航仪”。生产环境务必关闭`display_errors`，启用`log_errors`，将错误记录到日志而非返回给用户。避免暴露数据库结构、文件路径或PHP版本，防止攻击者针对性构造载荷。
最小权限原则至关重要。数据库连接账号不应拥有`DROP`、`CREATE`或跨库访问权限，仅授予当前业务所需的读写权限。同时，及时更新PHP版本及扩展，修补已知安全缺陷。
安全不是功能补丁，而是开发习惯。每次接收用户输入，都要问一句：“这个值会被怎么解释？是否参与代码执行或查询构建？”养成预处理+白名单+权限隔离的三重习惯，比事后修复成本低得多，也更有效。