PHP防止SQL注入的首选方法是使用PDO预处理语句，包括命名占位符绑定、问号占位符数组传参、动态子句白名单校验、事务内批量预处理及错误抑制与日志隔离五种实践方式。
如果您在PHP应用中直接拼接用户输入构造SQL查询，则数据库极易遭受恶意SQL代码注入攻击。以下是使用PDO预处理语句防止SQL拼接的多种实践方式：
一、PDO命名占位符绑定法
该方法通过命名参数（如:username）明确标识变量位置，使SQL结构与数据彻底分离，数据库驱动自动完成类型绑定与转义。
1、建立PDO连接并启用异常模式：必须设置PDO::ATTR_ERRMODE为PDO::ERRMODE_EXCEPTION。
2、编写含命名占位符的SQL语句，例如"SELECT * FROM users WHERE email = :email AND status = :status"。
立即学习“PHP免费学习笔记（深入）”；
3、调用prepare()方法生成PDOStatement对象。
4、使用bindValue()或bindParam()分别绑定值或变量引用，例如$stmt->bindValue(':email', $_POST['email'], PDO::PARAM_STR)。
5、执行查询：$stmt->execute()，随后用fetch()或fetchAll()获取结果。
二、PDO问号占位符数组传参法
该方式采用位置式问号占位符（?），配合execute()接收索引数组，语法简洁且避免命名冲突，适合简单查询场景。
1、创建PDO连接实例，确保PDO::ATTR_EMULATE_PREPARES保持默认false以启用真实预处理。
2、编写含问号占位符的SQL语句，例如"INSERT INTO logs (ip, action, timestamp) VALUES (?, ?, ?)"。
3、调用prepare()准备语句。
4、调用execute()并传入按顺序排列的参数数组，例如$stmt->execute([$_SERVER['REMOTE_ADDR'], 'login', date('Y-m-d H:i:s')])。
5、检查返回值确认执行成功：execute()返回布尔值，需显式判断。
三、PDO动态子句白名单校验法
当SQL中存在无法用占位符替代的动态部分（如ORDER BY字段、表名、LIMIT偏移量），必须通过白名单机制严格限制取值范围，杜绝拼接风险。
1、预先定义合法值数组，例如$allowed_sorts = ['id', 'name', 'created_at']; $allowed_orders = ['ASC', 'DESC'];。
2、从用户输入提取待拼接字段，例如$sort_field = $_GET['sort'] ?? 'id'; $sort_order = strtoupper($_GET['order'] ?? 'ASC');。
3、使用in_array()校验输入是否在白名单内：校验失败必须立即终止脚本或抛出异常。
4、仅在校验通过后，将白名单值拼接到SQL字符串中，例如"ORDER BY {$sort_field} {$sort_order}"。
5、将最终SQL交由prepare()处理，其余参数仍使用占位符绑定。
四、PDO事务内批量预处理法
针对需原子性执行的多条相关语句（如转账操作），在事务中组合多个预处理语句，既保障数据一致性，又维持每条语句的防注入能力。
1、开启事务：$pdo->beginTransaction()。
2、为每条SQL分别调用prepare()，例如$stmt1 = $pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")。
3、对每条语句独立绑定并执行参数，例如$stmt1->execute([$amount, $from_id]);。
4、执行第二条语句：$stmt2->execute([$amount, $to_id]);。
5、全部成功后提交事务：$pdo->commit()；任一失败则回滚：必须捕获PDOException并在catch块中调用rollback()。
五、PDO错误抑制与日志隔离法
在生产环境中，需防止数据库错误信息泄露敏感结构（如表名、字段名），同时确保预处理失败可被追踪，须分离错误显示与日志记录。
1、禁用前端错误输出：ini_set('display_errors', 'Off')。
2、启用错误日志：ini_set('log_errors', 'On'); ini_set('error_log', '/var/log/php-pdo-errors.log')。
3、在PDO连接选项中添加PDO::ATTR_ERRMODE => PDO::ERRMODE_SILENT，避免未捕获异常中断流程。
4、手动检查errorCode()和errorInfo()返回值，对非0错误码记录详细上下文。
5、记录日志时不得包含原始SQL语句或用户输入内容，仅记录语句类型、执行时间及错误码。
