防止SQL注入最有效的方法是使用PDO或MySQLi预处理语句，将SQL结构与用户数据严格分离；其次需结合输入验证、错误处理、最小权限等深度防御措施。
如果您的PHP Web应用直接将用户输入拼接到SQL查询中，攻击者可能通过构造恶意输入篡改数据库指令，从而读取、修改或删除敏感数据。以下是防止SQL注入的多种具体防护手段：
一、使用PDO预处理语句与参数绑定
预处理语句将SQL结构与用户数据严格分离，数据库引擎先解析并编译SQL模板，再将参数作为独立数据传入执行，从根本上阻断恶意代码被解析为SQL逻辑的可能性。
1、建立PDO连接时明确指定字符集，避免宽字节注入漏洞：$pdo = new PDO("mysql:host=localhost;dbname=test;charset=utf8mb4", $user, $pass, [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]);
2、使用命名占位符（如:name）或问号占位符（?）编写SQL模板，禁止字符串拼接：$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :name AND status = ?");
立即学习“PHP免费学习笔记（深入）”；
3、调用execute()方法传入关联数组或索引数组绑定参数，确保值不参与SQL语法解析：$stmt->execute(['name' => $_POST['username'], (int)$_POST['status']]);
4、对LIKE子句中的通配符需在PHP层手动添加，不可拼入占位符右侧：$search = "%{$_POST['keyword']}%"; $stmt->execute([$search]);
二、使用MySQLi面向对象风格的预处理
MySQLi同样提供完整的预处理支持，其参数绑定机制与PDO一致，适用于未启用PDO扩展的环境，且支持原生类型映射增强安全性。
1、初始化MySQLi连接并开启异常模式：$mysqli = new mysqli($host, $user, $pass, $db); $mysqli->options(MYSQLI_OPT_CONNECT_TIMEOUT, 5);
2、调用prepare()创建预处理语句对象：$stmt = $mysqli->prepare("INSERT INTO logs (ip, action) VALUES (?, ?)");
3、使用bind_param()按顺序绑定参数类型与变量，类型字符串中i代表整型、s代表字符串、d代表双精度：$stmt->bind_param("is", $ip, $action);
4、设置变量值后执行：$ip = $_SERVER['REMOTE_ADDR']; $action = "login"; $stmt->execute();
三、输入验证与白名单过滤
在数据进入查询流程前，强制校验其格式与取值范围，拒绝非法输入，从源头降低风险，尤其适用于排序字段、枚举类参数等动态SQL片段。
1、对URL中传递的排序方向参数仅允许DESC或ASC：$order = in_array($_GET['sort'], ['ASC', 'DESC']) ? $_GET['sort'] : 'ASC';
2、对ID类数值参数强制转换并验证非负性：$id = (int)$_GET['id']; if ($id
3、对用户名等字符串字段使用正则限制字符集与长度：if (!preg_match('/^[a-zA-Z0-9_]{3,16}$/', $_POST['username'])) { die('Username format error'); }
4、对下拉菜单、单选按钮等前端可控字段，服务端必须重建白名单并校验：$valid_actions = ['create', 'update', 'delete']; if (!in_array($_POST['action'], $valid_actions)) { die('Forbidden action'); }
四、数据库权限最小化配置
即使SQL注入成功，若数据库账户无权执行高危操作，攻击影响将被严格限制。应为每个应用模块分配专用账号，并撤销不必要的全局权限。
1、创建仅具备必要表操作权限的用户：CREATE USER 'app_user'@'localhost' IDENTIFIED BY 'strong_password';
2、仅授予SELECT、INSERT、UPDATE权限，且限定到特定数据库与表：GRANT SELECT, INSERT, UPDATE ON myapp.users TO 'app_user'@'localhost';
3、显式撤销DROP、ALTER、CREATE、FILE、PROCESS等危险权限：REVOKE DROP, ALTER, FILE ON *.* FROM 'app_user'@'localhost';
4、禁用root账号远程登录，生产环境严禁在代码中硬编码高权限账户凭证：绝不使用root账号运行Web应用的数据库连接
五、错误信息屏蔽与日志隔离
数据库错误详情可能暴露表名、字段名、服务器路径等关键信息，为攻击者提供探测依据。必须关闭生产环境的详细错误输出，同时保留内部审计日志。
1、在PHP配置中关闭错误显示：ini_set('display_errors', '0'); error_reporting(E_ALL & ~E_NOTICE);
2、捕获PDO或MySQLi异常，抛出通用提示而非原始错误：try { $stmt->execute(); } catch (PDOException $e) { error_log("DB Error: " . $e->getMessage()); die("Operation failed"); }
3、将数据库连接失败、查询超时、空结果集等不同场景分类记录，避免日志中混入敏感参数值：日志中不得写入$_POST、$_GET原始内容或SQL语句完整文本
4、定期轮转数据库错误日志文件，设置访问权限为600，防止未授权读取：日志文件必须与Web根目录严格分离
