由 dawei SQL注入是PHP应用中最常见的安全威胁之一，攻击者通过构造恶意输入，篡改数据库查询语句，从而窃取、篡改甚至删除数据。防范注入的核心在于杜绝用户输入直接拼接进SQL语句。
采用预处理语句（Prepared Statements）是防御注入的最有效手段。以PDO为例，通过绑定参数而非拼接字符串，可确保用户输入被当作数据而非代码处理。例如：$stmt = $pdo->prepare(\”SELECT FROM users WHERE id = ?\”); $stmt->execute([$id]); 这样即使输入包含恶意代码，也不会被执行。
避免使用mysql_query或mysqli_query等不支持预处理的函数。这些函数在拼接字符串时极易引入漏洞，尤其当动态拼接表名、字段名时风险更高。若必须动态生成表名或字段名，应严格白名单校验，只允许预定义的合法值。
AI方案图，仅供参考
输入验证与过滤不可替代。对用户提交的数据进行类型和格式校验，如数字型参数应强制转换为整数，字符串长度限制在合理范围。使用filter_var()函数配合FILTER_VALIDATE_INT等过滤器，能有效拦截非法输入。
使用框架自带的安全机制可大幅降低出错概率。如Laravel的Eloquent ORM、Symfony的Doctrine，均内置了防注入保护。它们默认使用预处理语句，并提供链式查询构建，减少手动拼接的机会。
定期审计代码，尤其是涉及数据库操作的函数。重点检查所有含有用户输入的SQL语句，确认是否使用了预处理或严格过滤。借助静态分析工具如PHPStan、Psalm，可自动识别潜在的注入风险点。
•保持数据库账户最小权限原则。应用程序连接数据库的账号应仅拥有必要权限，避免使用root或高权限账户，防止一旦注入成功，攻击者获得全面控制。