PHP怎么过滤SQL注入 PHP防止SQL注入的多种方法详解
在Web开发中，安全始终是不可忽视的重要环节。SQL注入是最常见、最具破坏性的安全漏洞之一，它允许攻击者通过在输入中插入恶意的SQL代码片段来操作数据库，进而导致数据泄露、篡改甚至服务器被控制。本文将详细讲解PHP防止SQL注入的多种方法，帮助开发者构建更加安全的Web应用。
什么是SQL注入
SQL注入是指攻击者通过在表单输入、URL参数等用户可控的位置，插入或拼接恶意的SQL语句，从而改变原SQL语句的逻辑，实现非法操作数据库的目的。例如，当一个登录查询直接拼接用户输入时：
<?php $username = $_POST['username']; $password = $_POST['password']; // 危险：直接拼接SQL $sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'"; ?>
如果攻击者在用户名输入框中输入 ' OR '1'='1，最终的SQL语句将变为 SELECT * FROM users WHERE username = '' OR '1'='1' AND password = ''，由于 '1'='1' 永远为真，攻击者便可以轻松绕过验证直接登录系统。
PHP防止SQL注入的多种方法
1. 使用预处理语句（参数化查询）
预处理语句是防止SQL注入最有效、最推荐的方法。它的核心原理是将SQL语句的结构与数据分离，数据库引擎在执行前已经编译好了SQL结构，用户输入的数据只能作为纯数据被处理，无法改变SQL语句的逻辑。在PHP中，可以通过PDO或MySQLi扩展来实现预处理。
PDO预处理示例
<?php
$pdo = new PDO('mysql:host=localhost;dbname=test', 'root', 'password');
$username = $_POST['username'];
$password = $_POST['password'];
// 使用命名占位符准备SQL语句
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
// 执行时传入参数，参数自动转义并作为纯数据处理
$stmt->execute([':username' => $username, ':password' => $password]);
$user = $stmt->fetch();
?>MySQLi预处理示例
<?php
$mysqli = new mysqli('localhost', 'root', 'password', 'test');
$username = $_POST['username'];
$password = $_POST['password'];
// 使用问号占位符准备SQL语句
$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
// 绑定参数（ss表示两个参数均为字符串类型）
$stmt->bind_param('ss', $username, $password);
$stmt->execute();
$result = $stmt->get_result();
$user = $result->fetch_assoc();
?>2. 使用内置的转义函数
在某些老旧项目中，如果无法使用预处理语句，可以使用数据库扩展提供的转义函数。这些函数会对特殊字符（如单引号、双引号、反斜杠等）进行转义，使其失去SQL语法意义。
<?php
$mysqli = new mysqli('localhost', 'root', 'password', 'test');
// 使用 real_escape_string 转义用户输入
$username = $mysqli->real_escape_string($_POST['username']);
$password = $mysqli->real_escape_string($_POST['password']);
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = $mysqli->query($sql);
?>需要注意，转义函数必须配合正确的字符集设置才能生效，且它不如预处理语句安全可靠，在处理复杂的字符集或边缘情况时仍存在被绕过的风险。
3. 数据类型验证与强制转换
对于数字型的参数，最简单直接的防范手段是强制类型转换。如果期望的输入是整数，直接使用 intval() 函数将其转换为整数，这样任何注入的字符串都会变成0，从而彻底截断注入攻击。
<?php // 假设从URL获取文章ID，预期为整数 $id = isset($_GET['id']) ? intval($_GET['id']) : 0; // 此时 $id 必然是整数，无需担心SQL注入 $sql = "SELECT * FROM articles WHERE id = $id"; ?>
4. 限制数据库用户权限
即使发生了SQL注入，如果数据库账号权限受到严格限制，攻击者能造成的破坏也会大大降低。遵循最小权限原则，Web应用连接数据库的账号不应拥有 ROOT 权限，只应授予对当前业务库的 SELECT、INSERT、UPDATE、DELETE 等必要权限，严禁授予 FILE、GRANT、SUPER 等高危权限。
5. 规避动态表名与列名拼接
预处理语句只能处理参数值，无法用于表名或列名。如果业务逻辑需要动态排序（如 ORDER BY 后的字段名），绝不能直接拼接用户输入。应采用白名单机制进行校验：
<?php
// 允许的排序字段白名单
$allowedOrders = ['id', 'created_at', 'price'];
// 获取用户传入的排序参数
$order = $_GET['sort'] ?? 'id';
// 校验是否在白名单内，若不在则使用默认值
if (!in_array($order, $allowedOrders)) {
$order = 'id';
}
$sql = "SELECT * FROM products ORDER BY " . $order;
?>更多关于PHP安全配置和数据库操作的最佳实践，可以参考官方文档（https://www.ipipp.com）获取更深入的信息。
总结
防止SQL注入是PHP开发者的基本功。核心原则是将数据与代码严格分离，优先使用PDO或MySQLi的预处理语句进行参数化查询；对于无法使用预处理的场景，结合类型转换、转义函数与严格的输入白名单验证；同时，通过限制数据库权限来构建最后的安全防线。只有多重防护措施结合，才能确保应用远离SQL注入的威胁。