由 dawei SQL注入是PHP开发中常见的安全威胁，攻击者通过构造恶意输入，篡改数据库查询语句，从而窃取、篡改或删除数据。防范注入的核心在于：永远不要直接拼接用户输入到SQL语句中。
AI方案图，仅供参考
传统做法如使用mysqli_real_escape_string或mysql_escape_string虽能转义特殊字符，但存在局限性，尤其在处理复杂查询或嵌套语句时容易出错。更可靠的方式是采用预处理语句（Prepared Statements），它将SQL结构与数据分离，从根本上杜绝注入风险。
使用PDO是实现预处理的推荐方式。通过prepare()方法预编译SQL模板，再用execute()绑定参数，可确保用户输入仅作为数据处理，不会被解释为命令。例如：$stmt = $pdo->prepare(\”SELECT FROM users WHERE id = ?\”); $stmt->execute([$id]);
若使用原生MySQL扩展，也应优先选择mysqli_stmt_prepare和mysqli_stmt_bind_param。这些接口强制要求参数绑定，避免了字符串拼接的漏洞。关键在于：无论输入来源是表单、URL参数还是API请求，一律视为不可信。
除了技术手段，还需加强输入验证。对数字类型使用intval()或filter_var($input, FILTER_VALIDATE_INT)，对字符串限制长度并过滤非法字符。结合白名单机制，只允许特定格式的数据通过，进一步降低风险。
定期进行代码审计和使用静态分析工具（如PHPStan、Psalm）能提前发现潜在注入点。同时，启用数据库最小权限原则，应用程序账户仅拥有必要操作权限，即使发生漏洞，影响范围也被控制。
防注入不仅是技术问题，更是开发习惯的体现。养成“不信任任何输入”的思维，坚持使用预处理和严格验证，才能构建真正安全的PHP应用。