PHP 8.2不修复SQL注入漏洞，该漏洞属应用层问题；须通过参数化查询（PDO::prepare+bindValue/execute）、禁用模拟预处理、输入校验、白名单控制动态SQL元素等措施修复。
PHP 8.2 本身不修复 SQL 注入漏洞——这类问题出在应用代码层，和 PHP 版本升级无关。防护关键在于开发者是否正确编写数据库交互逻辑，而不是等待语言更新“自动修复”。
必须用参数化查询，且确保真正绑定
预处理语句（如 PDO::prepare）只有配合 bindValue() 或 execute() 才起作用。只写占位符却不绑定变量，等于没防护。
- ✅ 正确：所有用户输入都走参数绑定，包括数字、字符串、状态值等
- ❌ 错误：SQL 中部分拼接、部分占位；或写了 :id 却没传值，导致实际执行时仍拼接原始输入
- ⚠️ 注意：PDO 默认启用模拟预处理（PDO::ATTR_EMULATE_PREPARES = true），需显式关闭：
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
输入必须校验类型与范围，不能只看是否设置
看似安全的数字参数，常是注入入口。比如 $_GET['id'] 只用 ?? 0 或 isset() 判断，未验证是否为合法整数，攻击者可传入 1 OR 1=1 直接拼进 SQL。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 数字型：用
filter_var($id, FILTER_VALIDATE_INT)或强转(int)$id，再判断是否为非零有效值 - 字符型：限制长度、限定字符集，例如
preg_match('/^[a-z0-9_\-]{1,50}$/i', $str) - 禁止依赖
mysql_real_escape_string（已废弃）或mysqli_real_escape_string（仅作兜底，不可替代参数化）
动态 SQL 元素必须用白名单硬控制
ORDER BY 字段、表名、列名、UNION SELECT 的列数等，无法用参数化。这些地方一旦拼接用户输入，立刻失守。
立即学习“PHP免费学习笔记（深入）”；
- 定义允许的排序字段数组：
$allowed_sorts = ['title', 'created_at', 'status']; - 严格比对：
$sort = in_array($_GET['sort'] ?? '', $allowed_sorts) ? $_GET['sort'] : 'created_at'; - 表名/列名同理，必须从预设列表中选取，不可接受任意字符串
禁用过时机制，不依赖魔术引号类方案
PHP 5.4 已移除 magic_quotes_gpc，现代项目若还看到类似自动转义逻辑，说明架构陈旧、维护滞后。
- 不写自定义“全局过滤”中间件来统一 addslashes() 或 str_replace()
- 不信任任何“一次过滤，处处安全”的假设——每个 SQL 查询都应独立做参数化+校验
- 避免 ORM 的 raw 查询误用，例如 Laravel 的
DB::raw("...{input}...")或 Django 的.raw()，它们绕过参数化
