由 dawei SQL注入是后端开发中最常见且危害严重的安全漏洞之一。攻击者通过在输入中插入恶意SQL代码，可能绕过身份验证、窃取敏感数据，甚至删除整个数据库。要彻底防御，必须从源头杜绝恶意输入的执行风险。
AI方案图，仅供参考
最根本的防护手段是使用预处理语句（Prepared Statements）。PHP中可通过PDO或MySQLi实现。预处理将SQL逻辑与数据分离，数据库引擎会先编译SQL结构，再绑定参数，确保用户输入不会被当作代码执行。
以PDO为例，正确写法如下：$stmt = $pdo->prepare(‘SELECT FROM users WHERE id = ?’); $stmt->execute([$id]); 这样即使输入为 ‘1 OR 1=1’，也只会作为字符串匹配，无法改变查询逻辑。
避免直接拼接用户输入到SQL语句中。例如，禁止使用 $sql = \”SELECT FROM users WHERE name = ‘\” . $_GET[‘name’] . \”‘\”; 这类写法，哪怕做了简单的过滤也存在被绕过的风险。
对于必须动态生成的SQL（如字段名、表名），应严格白名单校验。只允许预定义的合法值，拒绝任何未在白名单中的输入。例如，仅允许排序字段为 ‘name’、’age’ 等固定选项。
同时，应用层应加强输入验证。对数字类型使用 intval() 或 filter_var($input, FILTER_VALIDATE_INT)，对字符串进行长度和格式限制。不要依赖前端验证，后端必须独立校验。
使用安全的框架或库也能降低风险。如Laravel的Eloquent ORM、Symfony的Doctrine，它们默认采用预处理机制，减少手动拼接SQL的机会。
定期进行代码审计和渗透测试，借助工具如SQLMap检测潜在漏洞。建立日志监控机制，记录异常查询行为，及时发现攻击尝试。
安全不是一劳永逸的。随着业务发展，新增功能需持续评估安全影响。养成“输入即危险”的思维习惯，是构建健壮系统的基石。