由 dawei SQL注入是H5页面后端最危险的安全漏洞之一，攻击者通过构造恶意SQL语句，绕过登录、窃取用户数据甚至删除整个数据库。对PHP开发者而言，这不是理论风险，而是每天可能遭遇的真实威胁。
最基础却最有效的防御是使用PDO预处理语句。它将SQL逻辑与用户输入严格分离：先定义含占位符的查询模板（如“SELECT FROM users WHERE name = ?”），再独立绑定参数值。数据库引擎自动将参数视为纯数据，彻底杜绝拼接式执行。
避免任何字符串拼接方式处理用户输入。哪怕只是简单地用$_GET[‘id’]拼进SQL，都等同于在门口挂钥匙。例如“WHERE id = {$_GET[‘id’]}”看似无害，但传入“1 OR 1=1”即可返回全部记录。
对非数值型参数，手动过滤无法替代预处理。intval()、htmlspecialchars()或正则匹配只能作为辅助手段，它们无法覆盖所有边界场景——比如带空格或Unicode编码的绕过尝试。预处理才是根本解法。
开启PDO的异常模式（setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION)），让错误明确抛出，避免因silent fail掩盖漏洞。但切记：生产环境不暴露详细错误信息给前端，应在日志中记录，防止泄露表结构等敏感细节。
AI设计，仅供参考
禁用全局魔法引号（magic_quotes_gpc），它早已废弃且存在严重绕过方式。依赖它等于用纸糊城墙。现代PHP应统一采用prepared statements + 严格类型绑定（bindValue(‘:id’, $id, PDO::PARAM_INT)）。
小技巧：即使只需查单条数据，也用fetch()而非fetchAll()；对无需写操作的接口，数据库账户仅授予SELECT权限。最小权限原则能大幅压缩攻击面。
每次接收$_POST、$_GET、$_COOKIE前，都默认它是“敌意输入”。防注入不是加一道补丁，而是贯穿整个数据流转链的编程习惯：接收→验证→预处理→执行→返回。把安全变成肌肉记忆，比任何WAF都可靠。