PHP防止SQL注入的实用方法与安全策略

M66 2025-10-08

SQL注入漏洞的危害与防御必要性

SQL注入是一种常见的网络攻击方式，攻击者通过向应用程序输入恶意SQL代码，从而操控数据库执行非法操作。这类攻击在PHP开发的项目中尤为常见，因为PHP在用户输入处理上如果不严谨，极易导致安全漏洞。要构建安全的PHP应用，开发者必须了解并采取防御SQL注入的有效策略。

使用预处理语句防止SQL注入

预处理语句是防御SQL注入最可靠的方法之一。通过将SQL语句与用户输入分离，数据库会在执行前自动校验参数，防止恶意SQL被执行。这种方式既安全又高效。

示例代码：

// 建立数据库连接
$pdo = new PDO("mysql:host=localhost;dbname=mydb", "username", "password");

// 准备SQL语句
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");

// 绑定参数
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);

// 执行查询
$stmt->execute();

// 获取结果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

这种方式有效隔离了SQL结构与输入数据，从根本上杜绝了注入风险。

输入数据过滤与校验

在部分场景下，除了使用预处理语句，还可以通过过滤输入数据来减少潜在风险。对用户提交的数据进行转义或验证，可以阻止部分注入尝试。

示例代码：

// 过滤输入数据
$username = addslashes($_POST['username']);
$password = addslashes($_POST['password']);

// 执行SQL语句
$sql = "SELECT * FROM users WHERE username = '" . $username . "' AND password = '" . $password . "'";
$result = mysqli_query($conn, $sql);

需要注意的是，addslashes() 等方法仅能提供有限保护。仍建议优先使用预处理语句作为核心防御手段。