由 dawei SQL注入是PHP应用中最常见也最危险的安全漏洞之一，攻击者通过构造恶意SQL片段篡改数据库查询逻辑，从而窃取、删除或篡改数据。其本质在于将用户输入直接拼接进SQL语句，丧失了数据与代码的边界。
最可靠、首选的防护方式是使用预处理语句（Prepared Statements）。PDO和MySQLi均原生支持：PDO通过prepare()与execute()分离SQL结构与参数，MySQLi则提供mysqli_prepare()与mysqli_stmt_bind_param()。参数被严格当作数据处理，无论内容含单引号、分号或注释符，都不会影响语句语法结构。
切勿依赖简单的字符串过滤函数如addslashes()或magic_quotes_gpc（已废弃）。这些方法无法覆盖所有编码绕过场景（如宽字节注入、十六进制编码、Unicode多字节组合），反而给人虚假安全感。同理，白名单校验仅适用于明确有限的输入（如状态码、枚举值），不适用于用户名、搜索关键词等自由文本。
对于无法使用预处理的极少数场景（如动态表名、列名），必须严格限制范围：使用固定映射数组校验输入是否在允许列表中，禁止任何外部输入直接进入SQL结构部分。同时，数据库连接应遵循最小权限原则——应用账号只赋予所需表的SELECT/INSERT/UPDATE权限，禁用DROP、ALTER、UNION SELECT等高危操作权限。
AI生成的示意图，仅供参考
错误信息需脱敏处理。生产环境务必关闭display_errors，并禁用mysql_error()、pdo::errorInfo()等暴露SQL细节的调试输出。启用log_errors将错误记录至服务器日志，既便于运维排查，又避免向攻击者泄露数据库版本、表结构等关键情报。
安全是持续过程而非一次性配置。建议定期使用开源工具（如sqlmap）进行黑盒扫描，结合代码审计检查所有数据库交互点；同时保持PHP版本、扩展及数据库系统及时更新，修复已知漏洞链。记住：输入不可信，执行须隔离，权限须收敛，错误须收敛。