在php开发中，新增数据是最基础的操作之一，但如果直接拼接用户输入的内容到sql语句中，很容易引发sql注入风险。比如用户传入的字段值包含单引号、sql关键字等恶意内容，就可能篡改原有sql逻辑，造成数据泄露、被删除等严重问题。预处理语句配合参数绑定是php官方推荐的防注入方案，能有效避免这类风险。
什么是预处理语句和参数绑定
预处理语句是指先将sql语句的结构发送给数据库服务器编译，其中需要动态传入的参数用占位符代替，之后再单独传入参数值。参数绑定就是把实际的参数值和占位符对应起来，传递给数据库执行。
这种方式下，参数值不会被当作sql语句的一部分解析，即使参数中包含sql关键字、特殊符号，也只会作为纯字符串处理，从根源上杜绝了注入的可能。
使用PDO扩展实现预处理新增
PDO是php中通用的数据库访问层，支持多种数据库，使用起来也比较简单。下面是新增用户数据并防注入的完整示例：
<?php
// 数据库连接配置
$dbHost = '127.0.0.1';
$dbName = 'test_db';
$dbUser = 'root';
$dbPass = '123456';
// 创建PDO连接
try {
$pdo = new PDO("mysql:host=$dbHost;dbname=$dbName;charset=utf8", $dbUser, $dbPass);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch (PDOException $e) {
die("数据库连接失败：" . $e->getMessage());
}
// 准备预处理sql，使用问号作为占位符
$sql = "INSERT INTO users (username, email, age) VALUES (?, ?, ?)";
$stmt = $pdo->prepare($sql);
// 模拟用户提交的新增数据
$username = $_POST['username'] ?? '';
$email = $_POST['email'] ?? '';
$age = $_POST['age'] ?? 0;
// 绑定参数并执行，参数顺序和占位符对应
$stmt->bindParam(1, $username);
$stmt->bindParam(2, $email);
$stmt->bindParam(3, $age, PDO::PARAM_INT);
// 执行新增操作
if ($stmt->execute()) {
echo "新增数据成功，新增ID：" . $pdo->lastInsertId();
} else {
echo "新增数据失败";
}
?>
上面的代码中，prepare方法会先把sql结构发送给数据库编译，之后通过bindParam绑定参数，最后执行的时候只会传入参数值，不会重新解析sql结构，因此能有效防注入。
使用mysqli扩展实现预处理新增
如果项目使用的是mysqli扩展，同样可以通过预处理语句实现防注入，示例如下：
<?php
// 数据库连接
$conn = new mysqli('127.0.0.1', 'root', '123456', 'test_db');
if ($conn->connect_error) {
die("数据库连接失败：" . $conn->connect_error);
}
// 准备预处理语句，使用问号占位符
$sql = "INSERT INTO users (username, email, age) VALUES (?, ?, ?)";
$stmt = $conn->prepare($sql);
if (!$stmt) {
die("预处理失败：" . $conn->error);
}
// 模拟用户提交的数据
$username = $_POST['username'] ?? '';
$email = $_POST['email'] ?? '';
$age = $_POST['age'] ?? 0;
// 绑定参数，s代表字符串类型，i代表整数类型
$stmt->bind_param("ssi", $username, $email, $age);
// 执行语句
if ($stmt->execute()) {
echo "新增数据成功，新增ID：" . $stmt->insert_id;
} else {
echo "新增数据失败：" . $stmt->error;
}
// 关闭资源
$stmt->close();
$conn->close();
?>
mysqli的bind_param方法第一个参数是类型标识字符串，s表示字符串，i表示整数，d表示浮点数，b表示二进制数据，需要和后面的参数顺序一一对应。
参数绑定的注意事项
- 占位符的数量必须和绑定的参数数量一致，否则会执行失败。
- 绑定参数时要指定正确的参数类型，比如年龄是整数就指定为整数类型，避免不必要的类型转换。
- 预处理语句执行后如果需要再次使用，不需要重新prepare，只需要重新绑定参数并执行即可，能提升执行效率。
- 不要将用户输入的内容直接拼接到sql语句中，哪怕只是部分拼接，也会失去预处理防注入的效果。
两种扩展的选择建议
如果是新项目，建议优先选择PDO扩展，它支持多种数据库，迁移成本更低，而且参数绑定的方式更灵活。如果是老项目已经使用了mysqli扩展，也可以直接在原有基础上改用预处理语句，不需要更换整个数据库访问层。
无论使用哪种扩展，只要正确使用预处理语句和参数绑定，就能有效避免新增数据时的sql注入风险，保障数据安全。