使用预处理语句可有效防止SQL注入，结合输入验证与最小权限原则确保数据库安全。
防止SQL注入是PHP开发中必须重视的安全问题。攻击者通过在输入字段中插入恶意SQL代码，可能窃取、篡改甚至删除数据库数据。正确的编码方式能有效避免这类风险。
使用预处理语句（Prepared Statements）
预处理语句是目前防止SQL注入最有效的方法之一。它将SQL语句的结构与参数分离，确保用户输入不会被当作SQL代码执行。
以PDO为例：
$pdo = new PDO($dsn, $username, $password);
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);
$user = $stmt->fetch();
使用命名占位符同样安全：
立即学习“PHP免费学习笔记（深入）”；
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute([':email' => $email]);
MySQLi也支持预处理：
$mysqli = new mysqli("localhost", "user", "pass", "database");
$stmt = $mysqli->prepare("SELECT * FROM users WHERE email = ?");
$stmt->bind_param("s", $email);
$stmt->execute();
$result = $stmt->get_result();
对输入进行验证和过滤
不要相信任何用户输入。对数据类型、格式、长度进行严格校验。
- 使用filter_var()过滤邮箱、URL等常见格式
- 对整数使用is_numeric()或intval()
- 限制字符串长度，避免超长输入
- 白名单验证：只允许预期的值（如状态值只能是 active/inactive）
示例：
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
die("无效邮箱");
}
避免拼接SQL语句
任何时候都不要将用户输入直接拼接到SQL中。
错误做法：
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; mysqli_query($conn, $query); // 极其危险
正确做法：始终使用预处理语句传参。
最小权限原则
数据库账户应遵循最小权限原则。Web应用连接数据库的账号不应拥有DROP、CREATE等高危权限。
- 普通查询使用只读权限
- 写操作使用仅允许INSERT/UPDATE的账号
- 禁止使用root或DBA账号连接
基本上就这些关键点。只要坚持使用预处理语句，配合输入验证和权限控制，就能基本杜绝SQL注入风险。
