由 dawei SQL注入是PHP应用中最危险的漏洞之一，攻击者通过构造恶意SQL语句，绕过身份验证、窃取数据甚至删除整个数据库。其根本成因在于将用户输入直接拼接到SQL查询中，未做任何安全处理。
最有效的防护手段是使用PDO或MySQLi的预处理语句（Prepared Statements）。它将SQL逻辑与参数严格分离：先定义含占位符的语句，再绑定变量执行。数据库引擎会将参数视为纯数据，绝不会解析为SQL代码。例如：$stmt = $pdo->prepare(\”SELECT FROM users WHERE email = ?\”); $stmt->execute([$user_input]);
绝对避免使用mysql_函数（已废弃）或类似sprintf、字符串拼接的方式组合SQL。即便经过addslashes()或magic_quotes_gpc（早已移除）过滤，也无法应对宽字节、编码绕过等高级攻击手法。
对于无法使用预处理的动态场景（如ORDER BY字段名、表名），必须采用白名单校验。将允许的值硬编码在数组中，仅接受匹配项，拒绝一切未知输入。例如：$allowed_fields = [‘name’, ’email’, ‘created_at’]; if (!in_array($sort, $allowed_fields)) { die(‘Invalid sort field’); }
启用PHP错误报告配置（display_errors=Off，log_errors=On）可防止敏感信息泄露。同时，数据库账户应遵循最小权限原则：Web应用连接账号只赋予所需表的SELECT/INSERT权限，禁用DROP、ALTER、FILE等高危操作。
AI设计，仅供参考
建议配合使用ORM框架（如Laravel Eloquent、Doctrine）——它们默认采用参数化查询，并内置转义与类型约束。但切勿盲目信任“自动防护”，仍需审查自定义SQL查询和原始查询接口。
定期进行代码审计与渗透测试，使用SQLMap等工具主动验证防护效果。真实攻防中，单点疏漏（如导出功能、搜索框、分页参数）常成突破口。安全不是功能模块，而是贯穿开发全周期的编程习惯。