PHP数据库安全需以预处理语句防范SQL注入，结合输入验证、最小权限原则和配置分离；最小权限要求仅授予应用真实所需的具体表、字段及操作，禁用ALL PRIVILEGES，限制IP来源并禁用多语句，形成纵深防御。
PHP平台数据库用户权限最小授权，核心不是“给够用的权限”，而是“只给刚够用的那一小块”。它和PHP代码是否安全不冲突——预处理语句防注入，最小权限兜底止损。哪怕某处漏了绑定参数，攻击者拿到的也只是一个只能查三列、不能跨表、连系统库都碰不到的账号。
明确应用真实数据操作范围
别凭感觉配权限。先梳理清楚这个PHP应用实际需要做什么：
- 只读场景（如用户资料展示页）：仅需对
users表的id, username, email字段执行SELECT - 写入场景（如订单提交）：可能需对
orders表INSERT，对products表SELECT查库存，但不需要DELETE或DROP - 避免“顺手加个ALL PRIVILEGES”——这等于把数据库钥匙串整个交出去
MySQL中创建最小权限账号的操作要点
在phpMyAdmin或命令行中操作时，关键动作要闭环：
- 新建用户时限定来源IP，例如
'app_user'@'192.168.10.5'，不用'%'@'%' - 显式授予列级权限：
GRANT SELECT (id, name) ON mydb.users TO 'app_user'@'192.168.10.5'; - 立刻撤销全局权限：
REVOKE SELECT ON *.* FROM 'app_user'@'192.168.10.5';（防止隐式继承） - 验证结果：
SHOW GRANTS FOR 'app_user'@'192.168.10.5';，输出里不应出现ON *.*或ON mydb.*
绕过风险点必须手动堵住
有些权限看似安全，实则留了后门：
立即学习“PHP免费学习笔记（深入）”；
-
db_datareader（SQL Server）默认能读master、msdb，得额外执行：DENY SELECT ON SCHEMA::sys TO app_user; - PostgreSQL中视图若调用
SECURITY DEFINER函数且该函数有高权限，整个视图就失效；应改用SECURITY INVOKER并检查函数权限链 - 测试环境残留的
root或'%'@'%'账号，务必清理——内网扫描常从这里突破
PHP连接层同步收紧
权限配完，PHP代码也要匹配：
- 配置文件中使用专用账号，而非复用开发账号或root
- 连接DSN里指定
charset=utf8mb4，避免因字符集不一致触发隐式转换绕过 - 在PDO或MySQLi初始化时禁用多语句（
PDO::MYSQL_ATTR_MULTI_STATEMENTS => false），防; DROP TABLE类组合攻击
