由 dawei PHP与H5结合开发中，注入攻击是常见且危险的安全隐患。尤其是当用户输入未经严格处理时，攻击者可能通过恶意构造数据执行非法操作，如数据库篡改、信息泄露甚至系统沦陷。
防御注入攻击的核心在于“输入即威胁”。所有来自表单、URL参数、HTTP头或文件上传的数据，都应视为不可信。即使前端已做校验，后端也绝不能依赖，必须重新验证和过滤。
采用预处理语句（Prepared Statements）是防止SQL注入的最有效手段。在PHP中，使用PDO或MySQLi提供的参数化查询，能将用户输入与SQL命令彻底分离。例如，使用`$stmt = $pdo->prepare(‘SELECT FROM users WHERE id = ?’);`，并绑定参数，可避免拼接字符串带来的风险。
AI方案图，仅供参考
对于非数据库场景，如文件路径操作或命令执行，同样需警惕。避免直接拼接用户输入到系统命令，如`exec(\”ls \” . $_GET[‘dir’])`。应使用白名单机制限制允许的操作范围，或调用安全函数如`escapeshellarg()`对参数进行转义。
数据输出前必须进行适当的转义。当将数据展示在HTML页面中，特别是动态内容，应使用`htmlspecialchars()`函数，防止XSS攻击。同时，根据上下文选择合适的编码方式，如JSON输出时使用`json_encode()`并设置`JSON_UNESCAPED_UNICODE`等选项。
启用PHP安全配置也能增强防护。例如，在php.ini中关闭`register_globals`、禁用`eval()`和`system()`等危险函数，并开启`display_errors`为关闭状态，避免敏感信息暴露。
定期进行代码审计与漏洞扫描，配合安全工具如PHPStan、RIPS或Snyk，有助于提前发现潜在注入风险。养成良好的编码习惯，始终假设输入是恶意的，才能构建更健壮的Web应用。