核心是使用预处理语句分离SQL结构与用户数据，PDO或MySQLi预处理配合参数绑定是根本措施，辅以白名单校验动态字段、严格输入验证和最小权限原则。
PHP开发中防范SQL注入，核心是不让用户输入参与SQL语法构建。最可靠的做法是用预处理语句把SQL结构和数据彻底分开，其他手段都是补充。
用PDO预处理语句绑定参数
PDO是目前推荐的数据库访问方式，它天然支持真正的参数化查询，且能明确控制字符集，避免宽字节注入。
- 连接时强制指定utf8mb4字符集：$pdo = new PDO("mysql:host=localhost;dbname=test;charset=utf8mb4", $user, $pass, [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]);
- SQL模板里只用:name或?占位，绝不能拼接变量：$stmt = $pdo->prepare("SELECT * FROM users WHERE status = ? AND name LIKE :keyword");
- 执行时传入纯数据数组，类型由PDO自动处理：$stmt->execute([1, "%{$search}%"]);
- LIKE中的通配符必须在PHP层加，不能写进占位符右边，否则会被当作文本而非模式匹配符。
MySQLi预处理同样有效
如果项目受限于环境无法启用PDO，MySQLi面向对象风格的预处理完全可替代，安全性不打折扣。
- 先建立连接并开启异常模式：$mysqli = new mysqli($host, $user, $pass, $db); $mysqli->options(MYSQLI_OPT_CONNECT_TIMEOUT, 5);
- 调用prepare()生成语句对象，SQL中只含?：$stmt = $mysqli->prepare("INSERT INTO logs (ip, action) VALUES (?, ?)");
- 用bind_param()绑定变量，第一个参数是类型字符串（如"is"表示整型+字符串），后续是变量引用：$stmt->bind_param("is", $ip, $action);
- 赋值后再执行：$ip = $_SERVER['REMOTE_ADDR']; $action = "login"; $stmt->execute();
动态字段必须走白名单校验
表名、列名、排序方向（ORDER BY）、分页参数（LIMIT/OFFSET）等无法用占位符，必须硬编码或严格白名单过滤。
立即学习“PHP免费学习笔记（深入）”；
- 排序字段只允许ASC或DESC：$order = in_array($_GET['sort'], ['ASC', 'DESC']) ? $_GET['sort'] : 'ASC';
- 列名映射到固定数组：$allowed_fields = ['id', 'username', 'email']; $field = in_array($_GET['field'], $allowed_fields) ? $_GET['field'] : 'id';
- 分页偏移量强制转为整数并设上限：$offset = max(0, min(10000, (int)$_GET['offset']));
输入验证与权限最小化不可省略
预处理解决的是“怎么安全执行”，而验证和权限解决的是“该不该执行”和“执行后能干啥”。
- 数字类参数用filter_var($input, FILTER_VALIDATE_INT)或直接(int)强转；邮箱用FILTER_VALIDATE_EMAIL；URL用FILTER_VALIDATE_URL。
- 数据库账号禁用DROP、CREATE、ALTER、FILE等高危权限，生产环境绝不使用root账号。
- 关闭错误信息外泄：ini_set('display_errors', '0');，所有异常捕获后返回泛化提示，不暴露表结构或SQL片段。
