PHP中防SQL注入的主要方法
SQL注入是Web应用中最常见且最具破坏性的安全漏洞之一。攻击者通过在用户输入中插入恶意的SQL片段，篡改后台数据库执行的SQL语句，从而导致数据泄露、数据篡改甚至服务器被控制。在PHP开发中，防范SQL注入是保障应用安全的重中之重。本文将详细介绍PHP中防止SQL注入的主要方法。
1. 使用预处理语句（参数化查询）
预处理语句（Prepared Statements）是防止SQL注入最有效、最推荐的方法。它的核心原理是将SQL语句的结构与数据分离。数据库服务器首先编译SQL语句的模板，然后将用户输入的数据作为参数绑定到模板中。由于数据不会被当作SQL代码执行，从而从根本上杜绝了SQL注入的风险。
PDO预处理示例
PDO（PHP Data Objects）提供了数据库访问的统一接口，支持多种数据库。使用PDO进行预处理查询的代码如下：
<?php // 假设 $pdo 是已经实例化的PDO对象 $username = $_POST['username']; $password = $_POST['password']; // 使用命名占位符准备SQL语句 $sql = "SELECT * FROM users WHERE username = :username AND password = :password"; $stmt = $pdo->prepare($sql); // 绑定参数并执行 $stmt->execute([ ':username' => $username, ':password' => $password ]); $user = $stmt->fetch(PDO::FETCH_ASSOC); ?>
MySQLi预处理示例
如果项目仅使用MySQL数据库，也可以选择MySQLi扩展来实现预处理：
<?php
// 假设 $mysqli 是已经实例化的mysqli对象
$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username = ? AND password = ?";
$stmt = $mysqli->prepare($sql);
// 绑定参数（s代表string，i代表integer等）
$stmt->bind_param("ss", $username, $password);
// 执行查询
$stmt->execute();
$result = $stmt->get_result();
$user = $result->fetch_assoc();
?>2. 转义用户输入
在某些遗留系统中，如果不方便立即重构为预处理语句，可以使用转义函数来处理用户输入。转义函数会对特殊字符（如单引号、双引号、反斜杠等）进行转义，使其失去SQL语法的含义。对于MySQL数据库，常用的函数是 mysqli_real_escape_string()。
<?php // 假设 $mysqli 是已经实例化的mysqli对象 $username = mysqli_real_escape_string($mysqli, $_POST['username']); $password = mysqli_real_escape_string($mysqli, $_POST['password']); // 拼接SQL语句（注意：仍不如预处理安全，但在无法使用预处理时是退而求其次的方案） $sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'"; $result = $mysqli->query($sql); ?>
需要注意的是，转义方法需要格外注意字符集设置（需使用 mysqli_set_charset()），否则可能遭遇编码绕过攻击。因此，它只能作为过渡方案，新项目务必使用预处理语句。
3. 使用PDO::quote()方法
如果使用PDO但无法使用预处理语句，PDO提供了 quote() 方法。该方法会对输入字符串加上引号，并转义内部的特殊字符。
<?php // 假设 $pdo 是已经实例化的PDO对象 $username = $pdo->quote($_POST['username']); $password = $pdo->quote($_POST['password']); $sql = "SELECT * FROM users WHERE username = $username AND password = $password"; $stmt = $pdo->query($sql); ?>
4. 严格的数据类型验证与过滤
除了在数据库操作层面防范，在数据进入应用的第一时间进行验证和过滤也是至关重要的。这符合纵深防御的原则。
强制类型转换：对于期望为整数的输入（如用户ID、页码），应使用
intval()函数强制转换为整数。整数是不存在SQL注入风险的。白名单验证：如果输入的值是有限的集合（如排序字段、操作类型），必须使用白名单进行验证，拒绝所有不在白名单内的输入。
<?php
// 强制转换为整数
$id = intval($_GET['id']);
$sql = "SELECT * FROM articles WHERE id = $id";
// 白名单验证排序字段
$allowed_orders = ['id', 'title', 'created_at'];
$order = $_GET['order'];
if (!in_array($order, $allowed_orders)) {
$order = 'id'; // 默认值
}
$sql = "SELECT * FROM articles ORDER BY $order";
?>5. 限制数据库用户权限
遵循最小权限原则，为Web应用分配的数据库用户只应拥有必要的权限。例如，如果某个页面只需要读取数据，就不应赋予该数据库用户插入、更新或删除的权限。即使发生了SQL注入，攻击者能造成的破坏也会被大大限制。
6. 避免直接拼接SQL语句
防范SQL注入的根本原则就是永远不要信任用户输入。在开发中，必须坚决摒弃直接将用户输入（如 $_GET、$_POST、$_COOKIE）拼接到SQL字符串中的做法。如果在网页前端使用HTML表单，例如包含 <input> 标签的表单提交数据，后端接收数据时绝对不能直接拼接进SQL语句。此外，在处理外部接口数据时，例如请求 https://www.ipipp.com 获取数据并写入数据库，同样需要对返回的数据进行预处理，防范二次注入。
7. 使用ORM框架
现代PHP开发中，常常使用对象关系映射（ORM）框架，如Eloquent（Laravel）、Doctrine等。这些ORM底层默认使用预处理语句来执行查询，并且在API设计上鼓励开发者避免拼接原生SQL。使用ORM不仅提高了开发效率，也在很大程度上降低了SQL注入的风险。当然，如果在使用ORM时仍然强行调用原生SQL查询方法，依然需要手动使用预处理语句来防范注入。
综上所述，PHP防止SQL注入的最佳实践是优先使用预处理语句，结合严格的数据验证与过滤，并遵循最小权限原则配置数据库。多层防护相结合，才能构建坚固的Web应用安全防线。