核心是彻底分离SQL结构与用户数据，必须使用PDO或MySQLi预处理语句；禁用错误透出、动态结构需白名单校验、升级至PHP 8.2.33+并配置最小权限。
PHP 8.2 中防止 SQL 注入，核心是**彻底分离 SQL 结构与用户数据**，不能依赖转义、过滤或字符串拼接。官方已移除过时机制（如 magic_quotes_gpc），且 mysql_* 函数早已废弃，必须使用现代、类型安全的数据库接口。
强制使用预处理语句（PDO 或 MySQLi）
这是唯一被广泛验证有效的根本性防护手段。PHP 8.2 默认启用严格错误报告，配合预处理可让恶意输入完全失去执行上下文。
- PDO 方式（推荐，支持多数据库）：
$pdo = new PDO('mysql:host=localhost;dbname=test', $user, $pass);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email AND status = ?");
$stmt->execute(['email' => $_POST['email'], (int)$_POST['status']]);
$users = $stmt->fetchAll(); - MySQLi 方式（PHP 8.2+ 新增
execute_query()，更简洁）：
$result = $mysqli->execute_query("SELECT * FROM logs WHERE ip = ? AND level > ?", [
$_SERVER['REMOTE_ADDR'],
(int)$_GET['min_level']
]);
while ($row = $result->fetch_assoc()) { /* 处理结果 */ }
禁用所有数据库错误信息透出
报错注入依赖数据库返回的表名、字段名、函数语法等细节。生产环境必须关闭任何可能泄露结构的信息。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- PHP 层：
display_errors = Off（php.ini），log_errors = On，并确保mysqli_report(MYSQLI_REPORT_OFF)或连接时禁用MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT - 应用层：用
try/catch捕获PDOException或mysqli_sql_exception，只返回泛化提示（如“操作失败，请稍后重试”），绝不echo $e->getMessage() - 测试是否生效：在参数中故意传入
' OR 1=1 --或非法字段名，确认响应无 SQL 片段、无表/列名、无堆栈，仅 HTTP 状态码变化或静默失败
对动态结构（表名、列名、ORDER BY 字段）做白名单校验
预处理语句无法参数化表名或排序字段，若业务真需动态指定，必须严格限制为预设值。
立即学习“PHP免费学习笔记（深入）”；
- 示例：
$allowed_tables = ['users', 'orders', 'products'];
$table = $_GET['table'] ?? 'users';
if (!in_array($table, $allowed_tables, true)) {
throw new InvalidArgumentException('Invalid table name');
}
$sql = "SELECT * FROM `$table` WHERE active = 1"; // 表名经白名单后，再用反引号包裹 - 同理，
ORDER BY字段也应限定为['id', 'created_at', 'name']等明确列表，禁止直接拼接用户输入
升级与配置加固不可跳过
PHP 8.2.33（2026年7月发布）已修复 PostgreSQL 扩展中因反斜杠处理失效导致的高危 SQL 注入（CVE-2026-17543）。若项目使用 pgsql，必须升级。
- 检查当前版本：
php -v，确认 ≥ 8.2.33 - 禁用危险配置（php.ini）：
allow_url_include = Off、disable_functions = exec,passthru,shell_exec,system - 数据库连接使用最小权限账号，禁止授予
DROP、CREATE、FILE等高危权限
