PHP 8.3 不自动防 SQL 注入，仅默认禁用模拟预处理；必须显式使用 prepare/execute，动态标识符需白名单校验，输入验证与异常模式设置缺一不可。
PHP 8.3 本身不自动防 SQL 注入——它只是提供了更安全的底层能力，是否被注入，完全取决于你怎么写代码。用错方式，哪怕 PHP 8.3.5 也照崩不误；用对方式，PHP 7.4 也能扛住绝大多数攻击。
PHP 8.3 的预处理默认行为变了，但没帮你写代码
PHP 8.3 默认启用了 PDO::ATTR_EMULATE_PREPARES = false（即禁用模拟预处理），这是关键改进：它强制数据库服务端真正执行预处理，杜绝了因驱动层模拟导致的绕过风险（比如宽字节、多语句等边缘 case）。
但这只是“开关打开了”，不是“防护自动生效”。你仍必须显式调用 prepare() 和 execute()，否则照样拼接字符串。
- ✅ 正确：
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); $stmt->execute([$id]); - ❌ 错误：
$sql = "SELECT * FROM users WHERE id = " . $_GET['id']; // 即使 PHP 8.3，也直接中招 - ⚠️ 隐患：
$pdo->prepare("SELECT * FROM {$_GET['table']}")→ 表名无法参数化，PHP 8.3 不拦你，但会直接报错或执行恶意表名
动态标识符（表名/字段名/ORDER BY）必须白名单硬校验
预处理语句只接受「值」占位，? 或 :name 绝对不能出现在表名、列名、GROUP BY、LIMIT 偏移量等位置。PHP 8.3 不会警告，MySQL 会直接返回 PDOException: SQLSTATE[HY093]: Invalid parameter number 或更隐蔽的语法错误。
立即学习“PHP免费学习笔记（深入）”；
正确做法是用白名单映射用户意图：
$allowed_sorts = ['id', 'username', 'create_time'];
$sort_field = in_array($_GET['sort'] ?? '', $allowed_sorts) ? $_GET['sort'] : 'id';
<p>$allowed_orders = ['ASC', 'DESC'];
$sort_order = in_array($_GET['order'] ?? '', $allowed_orders) ? $_GET['order'] : 'ASC';</p><p>$stmt = $pdo->prepare("SELECT * FROM php_user ORDER BY {$sort_field} {$sort_order}");
$stmt->execute();
- 不要用
filter_var($input, FILTER_SANITIZE_STRING)清洗表名——它不解决逻辑绕过 - 不要信任
ctype_alpha()—— 攻击者可传users%00（空字节截断）或 Unicode 同形字绕过 - 白名单必须是服务端硬编码数组，不能从数据库或配置文件动态加载（除非该配置本身受权限控制）
输入验证不是可选动作，而是第一道隔离墙
PHP 8.3 没新增过滤函数，但 filter_var() 在 8.3 下对 FILTER_VALIDATE_INT 等校验更严格（比如拒绝带符号的科学计数法输入），配合类型声明能提前拦截异常数据。
示例：ID 参数必须是正整数，且范围可控
$id = $_GET['id'] ?? '';
if (!filter_var($id, FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 1000000]])) {
http_response_code(400);
die('Invalid ID');
}
// 此时再进 prepare 是双重保险
$stmt = $pdo->prepare("SELECT * FROM php_user WHERE id = ?");
$stmt->execute([$id]);
-
intval()不够：它会把'1abc'转成1，而filter_var()会返回false -
is_numeric()更危险：它接受'1e5'、'+1'、'0x1F'，这些可能被 MySQL 解析为非预期值 - 手机号、邮箱等必须用对应
FILTER_VALIDATE_*常量，别自己写正则——FILTER_VALIDATE_EMAIL已覆盖 RFC 5322 大部分边界 case
最易被忽略的一点：PDO 的错误模式默认是静默的。PHP 8.3 不会主动抛出异常，除非你设了 PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION。没开这个，prepare() 失败只会返回 false，而你若没检查就调 execute()，会触发致命错误或静默失败——这反而掩盖了 SQL 结构问题，让漏洞更难被发现。
