PHP防止SQL注入的實用方法與安全策略

M66 2025-10-08

SQL注入漏洞的危害與防禦必要性

SQL注入是一種常見的網絡攻擊方式，攻擊者通過向應用程序輸入惡意SQL代碼，從而操控數據庫執行非法操作。這類攻擊在PHP開發的項目中尤為常見，因為PHP在用戶輸入處理上如果不嚴謹，極易導致安全漏洞。要構建安全的PHP應用，開發者必須了解並採取防禦SQL注入的有效策略。

使用預處理語句防止SQL注入

預處理語句是防禦SQL注入最可靠的方法之一。通過將SQL語句與用戶輸入分離，數據庫會在執行前自動校驗參數，防止惡意SQL被執行。這種方式既安全又高效。

示例代碼：

 // 建立數據庫連接
$pdo = new PDO("mysql:host=localhost;dbname=mydb", "username", "password");

// 準備SQL語句
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");

// 綁定參數
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);

// 執行查詢
$stmt->execute();

// 獲取結果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

這種方式有效隔離了SQL結構與輸入數據，從根本上杜絕了注入風險。

輸入數據過濾與校驗

在部分場景下，除了使用預處理語句，還可以通過過濾輸入數據來減少潛在風險。對用戶提交的數據進行轉義或驗證，可以阻止部分注入嘗試。

示例代碼：

 // 過濾輸入數據
$username = addslashes($_POST['username']);
$password = addslashes($_POST['password']);

// 執行SQL語句
$sql = "SELECT * FROM users WHERE username = '" . $username . "' AND password = '" . $password . "'";
$result = mysqli_query($conn, $sql);

需要注意的是， addslashes()等方法僅能提供有限保護。仍建議優先使用預處理語句作為核心防御手段。