PHP防止SQL注入方法讲解_PHP安全数据库操作技巧

新闻中心 NEWS CENTER

2025-12-14

浏览次数：次

防止SQL注入最有效的方式是使用预处理配合参数化查询，而非拼接SQL；需禁用动态表名/字段名拼接，改用白名单校验；数据库账号应遵循最小权限原则并屏蔽错误信息。

php防止sql注入方法讲解_php安全数据库操作技巧

防止SQL注入最有效的方式是不拼接SQL语句，而是使用预处理（Prepared Statements）配合参数化查询。这是PHP操作数据库时保障安全的基石，不是“可选技巧”，而是必须遵循的标准做法。

原生字符串拼接（如 "SELECT * FROM user WHERE id = " . $_GET['id']）直接暴露在注入风险下。正确做法是把SQL结构和数据完全分离：

PDO示例：`$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ? AND status = ?");`
`$stmt->execute([$_POST['email'], 1]);`
MySQLi面向对象示例：`$stmt = $mysqli->prepare("INSERT INTO logs (action, ip) VALUES (?, ?)");`
`$stmt->bind_param("ss", $action, $ip);`
`$stmt->execute();`

问号占位符（或命名参数如 :email）由驱动自动转义并绑定类型，攻击者无法突破SQL语法边界。

用 htmlspecialchars()、filter_var() 或正则过滤用户输入，只适用于输出显示或简单校验，不能用于构造SQL。例如：

过滤是辅助手段，不是SQL安全的主力。重心必须放在“不拼接”上。

Glean

Glean是一个专为企业团队设计的AI搜索和知识发现工具

210 查看详情 Glean

预处理无法绑定表名、列名或ORDER BY字段。若业务真需动态指定（如多租户切换表），绝不可直接插入变量：

错误：$sql = "SELECT * FROM " . $_GET['table'] . " WHERE id = ?";`
正确：限定可选范围，用白名单判断
`$allowed_tables = ['users', 'posts', 'comments'];`
`$table = in_array($_GET['table'], $allowed_tables) ? $_GET['table'] : 'users';`
`$sql = "SELECT * FROM {$table} WHERE id = ?";`