SQL注入是PHP开发中最常见的安全漏洞之一，攻击者通过在用户输入中插入恶意的SQL语句片段，篡改原有查询逻辑，从而获取、修改甚至删除数据库中的数据。对于刚接触PHP的初学者来说，了解防注入的方法是从基础开发迈向安全开发的重要一步。
SQL注入的产生原因
很多初学者在编写数据库查询代码时，会直接将用户输入的内容拼接到SQL语句中，没有做任何处理。比如下面的代码就存在明显的注入风险：
<?php
$servername = "localhost";
$username = "root";
$password = "123456";
$dbname = "test";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
// 直接拼接用户输入，存在SQL注入风险
$user_input = $_GET['username'];
$sql = "SELECT * FROM users WHERE username = '$user_input'";
$result = $conn->query($sql);
?>
如果攻击者在输入框中输入admin' OR '1'='1，拼接后的SQL语句会变成SELECT * FROM users WHERE username = 'admin' OR '1'='1'，这个条件永远成立，攻击者就能获取到所有用户的数据。
常用的PHP防SQL注入方法
1. 使用预处理语句（推荐）
预处理语句是防SQL注入最有效的方式，它将SQL语句的结构和数据分开处理，用户输入的内容只会被当作数据处理，不会影响到SQL语句的结构。PHP中可以使用mysqli扩展或者PDO扩展实现预处理。
使用mysqli扩展的预处理示例：
<?php
$servername = "localhost";
$username = "root";
$password = "123456";
$dbname = "test";
$conn = new mysqli($servername, $username, $password, $dbname);
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
// 预处理SQL语句，?是占位符
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ?");
// 绑定参数，s表示参数是字符串类型
$stmt->bind_param("s", $user_input);
// 获取用户输入
$user_input = $_GET['username'];
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
print_r($row);
}
$stmt->close();
$conn->close();
?>
使用PDO扩展的预处理示例：
<?php
$servername = "localhost";
$username = "root";
$password = "123456";
$dbname = "test";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 预处理语句，:username是命名占位符
$stmt = $conn->prepare("SELECT * FROM users WHERE username = :username");
// 绑定参数
$stmt->bindParam(':username', $user_input);
// 获取用户输入
$user_input = $_GET['username'];
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);
print_r($result);
} catch(PDOException $e) {
echo "错误: " . $e->getMessage();
}
$conn = null;
?>
2. 使用转义函数
如果暂时无法使用预处理语句，也可以使用PHP提供的转义函数对用户输入进行处理。mysqli_real_escape_string函数可以对字符串中的特殊字符进行转义，避免这些字符被当作SQL语句的一部分执行。
<?php
$servername = "localhost";
$username = "root";
$password = "123456";
$dbname = "test";
$conn = new mysqli($servername, $username, $password, $dbname);
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
$user_input = $_GET['username'];
// 对用户输入进行转义
$safe_input = $conn->real_escape_string($user_input);
$sql = "SELECT * FROM users WHERE username = '$safe_input'";
$result = $conn->query($sql);
while ($row = $result->fetch_assoc()) {
print_r($row);
}
$conn->close();
?>
需要注意的是，转义函数需要和正确的字符集配合使用，否则可能无法完全防护注入风险，因此这种方式不如预处理语句可靠。
3. 输入过滤与验证
对用户输入的内容进行过滤和验证也是防注入的重要辅助手段。比如如果某个字段只接受数字，就可以使用is_numeric函数判断，或者使用intval函数将输入转换为整数，避免非预期的内容进入SQL语句。
<?php
// 假设id参数应该是整数
$user_id = $_GET['id'];
// 验证输入是否为整数
if (!is_numeric($user_id)) {
die("参数错误");
}
// 转换为整数，进一步确保安全
$user_id = intval($user_id);
$servername = "localhost";
$username = "root";
$password = "123456";
$dbname = "test";
$conn = new mysqli($servername, $username, $password, $dbname);
$stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");
$stmt->bind_param("i", $user_id);
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
print_r($row);
}
$stmt->close();
$conn->close();
?>
防注入的注意事项
- 不要相信任何用户输入，所有来自表单、URL参数、Cookie的内容都需要做处理。
- 优先使用预处理语句，尽量避免直接拼接SQL字符串。
- 数据库账号不要使用过高的权限，比如只给查询权限的账号就不要用有删表权限的账号连接数据库。
- 定期更新PHP版本和数据库扩展，修复已知的安全漏洞。
对于PHP初学者来说，从一开始编写代码就养成防注入的习惯，能有效减少后续的安全问题，让开发的项目更加可靠。