由 dawei SQL注入是Web应用中常见的安全漏洞，攻击者通过构造恶意的SQL语句，绕过身份验证或窃取敏感数据。在使用PHP开发时，若不加防范，极易受到此类攻击。防御的关键在于杜绝直接拼接用户输入到SQL查询中。
AI方案图，仅供参考
最有效的防御手段是使用预处理语句（Prepared Statements）。PDO和MySQLi都提供了这一功能。以PDO为例，通过绑定参数而非拼接字符串，可确保用户输入被当作数据而非代码处理。例如：$stmt = $pdo->prepare(\”SELECT FROM users WHERE id = ?\”); $stmt->execute([$id]); 这样即使输入为 ‘1 OR 1=1’，也会被当作字符串值处理，不会改变原查询逻辑。
使用预处理不仅提升了安全性，还增强了性能。数据库可以预先编译语句，重复执行时无需重新解析，尤其适用于频繁调用的查询。同时，避免了因引号转义不当导致的错误，减少开发中的调试成本。
除了预处理，还需对用户输入进行严格校验。对于数值型字段，应使用intval()或filter_var()进行类型过滤；对于字符串，可用htmlspecialchars()防止输出时出现XSS，但不能替代数据库层防护。始终遵循“最小权限”原则，数据库账户仅授予必要操作权限，降低攻击成功后的破坏范围。
不要依赖魔术引号（magic_quotes_gpc），该功能已被废弃且不可靠。也不建议手动转义，如addslashes()，因为无法应对复杂场景，且容易遗漏。真正的安全应建立在结构化、规范化的代码设计上。
定期进行代码审计和使用安全工具（如PHPStan、RIPS）检测潜在注入点，也是重要补充。安全是一个持续过程，需养成良好编码习惯，将防御嵌入开发流程，才能有效抵御日益复杂的攻击手段。