由 dawei 在PHP开发中，注入攻击是最常见且危害极大的安全漏洞之一，尤其以SQL注入为代表。攻击者通过构造恶意输入，操控数据库查询语句，可能导致数据泄露、篡改甚至服务器沦陷。防范注入的核心在于对用户输入的严格处理与数据库操作的规范化。
AI方案图，仅供参考
直接拼接用户输入到SQL语句中是高危行为。例如：$sql = \”SELECT FROM users WHERE id = $_GET[‘id’]\”; 这种写法极易被利用，攻击者只需在URL中传入 `id=1 OR 1=1`，即可绕过身份验证获取所有用户数据。因此，必须杜绝字符串拼接方式执行查询。
使用预处理语句（Prepared Statements）是防御注入的有效手段。PDO和MySQLi都支持预处理，通过参数化查询将数据与指令分离。例如使用PDO时，先定义占位符：$stmt = $pdo->prepare(\”SELECT FROM users WHERE id = ?\”); 再绑定参数：$stmt->execute([$id])。这样无论输入为何，数据库都会将其视为数据而非命令。
即便使用预处理，也需对输入进行类型校验与过滤。例如，预期为整数的ID字段，应强制转换为整型：$id = (int)$_GET[‘id’]; 避免字符串形式的数值被误用。同时，限制输入长度、格式，拒绝非法字符，可进一步降低风险。
不要依赖魔术引号（magic_quotes_gpc），该功能已被废弃且不可靠。它仅对特定字符添加转义，无法防止所有类型的注入，反而可能引发编码问题。应主动采用安全的编码方式，如使用htmlspecialchars()处理输出，防止XSS等二次攻击。
定期更新依赖库、启用错误日志但不暴露敏感信息、使用最小权限账户连接数据库，也是构建安全体系的重要环节。综合运用技术手段与开发规范，才能真正实现“防注入”的长效防护。