由 dawei 
AI设计，仅供参考
PHP中常见的注入攻击，如SQL注入、命令注入和代码注入，往往源于对用户输入数据的不加校验与直接拼接。防御的核心在于“信任边界”——永远不要信任外部输入，无论来源是表单、URL参数还是请求头。
以SQL注入为例，使用原生的mysqli或PDO时，应优先采用预处理语句（Prepared Statements）。通过占位符代替变量插入，数据库引擎会将查询逻辑与数据分离，从根本上杜绝恶意语句的执行。例如，使用PDO的prepare()与execute()方法，可确保用户输入仅作为数据参与查询，而非执行指令。
对于动态拼接的SQL语句，若无法避免，必须对所有输入进行严格过滤。可借助正则表达式或内置函数如preg_match()、filter_var()，限制输入只能包含字母、数字或特定字符。尤其要警惕特殊字符如单引号、分号、注释符号等，这些是注入攻击的常见入口。
命令注入风险常出现在exec()、shell_exec()等函数调用中。此时应避免直接拼接用户输入到系统命令。推荐使用escapeshellarg()或escapeshellcmd()对参数进行转义，确保特殊字符被安全处理。更佳做法是使用白名单机制，只允许预定义的命令和参数组合。
在实际开发中，建议引入安全编码规范，如使用静态分析工具检查潜在漏洞。同时，启用PHP的配置项如disable_functions，禁用高危函数如eval()、system()、passthru()等，从源头减少攻击面。
安全不是一次性的实现，而是持续的过程。定期审查代码、更新依赖库、关注安全公告，才能构建真正健壮的防护体系。真正的安全，来自对每一个输入的敬畏与严谨处理。