PHP 8.x 修复SQL注入的核心是杜绝字符串拼接、全面使用PDO或MySQLi预处理语句，配合输入验证、输出编码与最小权限原则。
PHP 8.x 本身不产生 SQL 注入漏洞，问题出在开发者如何拼接用户输入与 SQL 查询。修复核心是**杜绝字符串拼接式查询，全面转向参数化执行**。PHP 8.x 对 PDO 和 MySQLi 的预处理支持更稳定、类型提示更严格，反而让安全实践更容易落地。
用 PDO 预处理语句替代所有动态拼接
这是最可靠、推荐的修复方式。PDO 能确保用户输入永远作为数据传入，不会被数据库引擎解析为 SQL 逻辑：
- 把
$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];这类写法全部删除 - 改用占位符（
?或命名参数），再通过execute()绑定值 - 注意：不能把变量直接插进 prepare() 的 SQL 字符串里，否则仍会失效
正确示例：
$pdo = new PDO("mysql:host=localhost;dbname=test;charset=utf8mb4", $user, $pass);
$stmt = $pdo->prepare("SELECT * FROM users WHERE status = ? AND created_at > ?");
$stmt->execute([$_POST['status'], $_POST['since']]);
$user = $stmt->fetch();MySQLi 同样必须使用预处理，禁用 mysqli_query() 处理用户输入
MySQLi 支持面向对象和过程两种风格，但都要求调用 prepare() + bind_param() 流程：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 绑定参数时需明确指定类型：
i（整型）、s（字符串）、d（双精度）、b（BLOB） - 避免混用
mysqli_real_escape_string()—— 它易被宽字节等绕过，不是根本解 - 不要用
mysqli_query($conn, "SELECT ... WHERE id = " . (int)$_GET['id'])这种“强转”代替预处理，类型校验应在业务层做，而非仅靠 cast
正确示例：
$mysqli = new mysqli("localhost", $user, $pass, "test");
$stmt = $mysqli->prepare("SELECT name, email FROM profile WHERE uid = ?");
$stmt->bind_param("i", $uid); // "i" 表示整数类型
$uid = (int)$_GET['uid']; // 业务层仍建议显式过滤，但执行安全由 bind_param 保障
$stmt->execute();
$result = $stmt->get_result();输入验证 + 输出编码，形成纵深防御
预处理解决的是查询执行阶段的安全，但还需配合其他层防护：
- 对 ID、页码、排序字段等预期为数字的参数，用
filter_var($input, FILTER_VALIDATE_INT)或强类型声明（如 PHP 8 函数参数类型public function getUser(int $id): array）提前拦截非法值 - 对用户名、邮箱等文本字段，用
filter_var($email, FILTER_SANITIZE_EMAIL)清理后再进入预处理流程 - 查询结果输出到 HTML 前，始终用
htmlspecialchars($value, ENT_QUOTES, 'UTF-8')，防 XSS 连带风险 - 数据库连接账号启用最小权限原则，例如只授予
SELECT, INSERT，禁用DROP、LOAD_FILE等高危权限
框架场景下确认 ORM 是否真正启用参数化
使用 Laravel、ThinkPHP 等框架不等于自动免疫。要检查实际生成的 SQL 和执行方式：
- Laravel 的
DB::table('users')->where('id', $id)->first()默认安全；但若写成DB::select("SELECT * FROM users WHERE id = $id")就直接退化为拼接 - ThinkPHP 的
where(['id' => $id])安全，而where("id = $id")危险 - 任何框架中调用原生查询方法（如
query()、execute()）时，必须人工确保参数化或白名单控制
