用 PDOStatement::fetchAll 查询时，如何有效防止 SQL 注入攻击？

M66 2025-06-28

什么是 SQL 注入？

SQL 注入是指攻击者通过向 SQL 查询中插入恶意 SQL 代码，达到窃取、篡改数据，甚至控制数据库服务器的目的。举个例子，假如开发者直接将用户输入的内容拼接到 SQL 查询语句中，攻击者可能通过输入特定的 SQL 代码来改变查询逻辑。

例如，假设有如下的查询语句：

$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

如果攻击者输入了以下内容作为用户名或密码：

用户名：' OR '1'='1
密码：' OR '1'='1

这个查询语句就变成了：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '' OR '1'='1';

这样就绕过了正常的身份验证，攻击者可以轻松获取到敏感数据。为了防止这种情况，我们可以使用参数化查询（Prepared Statements）来保护应用程序免受 SQL 注入攻击。

使用 PDO 防止 SQL 注入

PDO 提供了一种防止 SQL 注入的强大机制，即预处理语句（Prepared Statements）。通过预处理语句，查询中的用户输入将被视为参数，而不是 SQL 代码的一部分，这样即使用户输入恶意 SQL 代码，数据库也不会执行它。

1. 使用 PDO 连接数据库

首先，你需要使用 PDO 连接到数据库。确保在创建连接时启用异常处理，这样可以更好地调试错误。

try {
    $pdo = new PDO('mysql:host=localhost;dbname=testdb', 'username', 'password');
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch (PDOException $e) {
    echo "数据库连接失败: " . $e->getMessage();
}

2. 使用预处理语句查询

PDO 的预处理语句不仅能防止 SQL 注入，还能提高查询性能，尤其是在执行多次相同类型的查询时。

假设我们有一个查询需要根据用户的 username 来检索用户数据。我们可以使用如下代码：

$sql = "SELECT * FROM users WHERE username = :username";
$stmt = $pdo->prepare($sql);

// 绑定参数
$stmt->bindParam(':username', $username, PDO::PARAM_STR);

// 执行查询
$stmt->execute();

// 获取查询结果
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

// 输出结果
foreach ($results as $row) {
    echo "用户名: " . $row['username'] . "<br>";
    echo "邮箱: " . $row['email'] . "<br>";
}

在上面的代码中，:username 是一个占位符，用户输入的 username 会通过 bindParam 方法绑定到占位符。这种方式会确保无论用户输入什么内容，它都会作为一个参数传递给数据库，而不是直接拼接到 SQL 查询中，从而有效防止 SQL 注入。

3. 使用 fetchAll 获取结果

PDOStatement::fetchAll 方法可以将查询结果以数组的形式返回。它非常适合用于获取多行数据。上面代码中的 fetchAll(PDO::FETCH_ASSOC) 会将查询结果按关联数组的形式返回，其中每个元素对应一个数据行。

如果你想获取所有的查询结果，可以使用如下方式：

$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

如果你只需要单行结果，可以使用 fetch 方法，而如果你想获取多行结果，fetchAll 就是一个很好的选择。

4. 使用 URL 参数时的注意事项

在处理用户输入时，特别是 URL 参数，应该始终使用预处理语句。比如当 URL 中包含某个 id 参数，应该避免直接拼接到 SQL 语句中，而是通过预处理语句来传递。

假设 URL 中传入了一个 id 参数，你可以使用如下代码进行安全查询：

$id = $_GET['id'];  // 获取 URL 中的 id 参数

$sql = "SELECT * FROM users WHERE id = :id";
$stmt = $pdo->prepare($sql);

// 绑定参数
$stmt->bindParam(':id', $id, PDO::PARAM_INT);

// 执行查询
$stmt->execute();

// 获取查询结果
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

相关标签:
SQL

PDOStatement::fetchAll