PHP怎样防止SQL注入 PHP防SQL注入的5个关键措施

冰火之心

发布时间：2025-06-12 23:15:01

964人浏览过

来源于php中文网

原创

防止sql注入的核心方法是使用预处理语句和参数化查询，结合输入验证、输出编码、最小权限原则等措施。1. 使用预处理语句（如pdo或mysqli）将sql结构与数据分离，防止恶意数据被当作sql执行；2. 对所有用户输入进行严格验证，确保其格式、类型和长度符合预期，例如使用intval()或filter_var()函数；3. 在输出前对数据进行编码，如使用htmlspecialchars()防止xss攻击；4. 数据库连接使用最小权限账户，避免使用高权限账户；5. 使用orm框架自动处理sql构建，降低注入风险；6. 密码存储应使用password_hash()和password_verify()进行安全哈希处理；7. 防止盲注的方法包括限制错误信息输出、防御时间盲注以及部署waf；8. 即使使用预处理语句，仍需输入验证以防止逻辑错误和数据不一致；9. 定期更新系统和代码、进行代码审查、渗透测试及安全培训以持续提升安全性。

PHP怎样防止SQL注入 PHP防SQL注入的5个关键措施

防止PHP应用中的SQL注入，核心在于不要信任任何来自用户端的数据，并对所有输入进行严格的验证和过滤。 永远假设用户是恶意的，并采取相应的防御措施。

解决方案

使用预处理语句（Prepared Statements）或参数化查询（Parameterized Queries）： 这是防止SQL注入最有效的方法。预处理语句将SQL语句的结构和数据分开，数据库服务器会先编译SQL语句，然后再将数据作为参数传递进去。这样即使数据中包含SQL注入的关键字，也不会被当做SQL语句执行。

立即学习“PHP免费学习笔记（深入）”；

// 使用PDO
$dsn = 'mysql:host=localhost;dbname=mydatabase;charset=utf8mb4';
$user = 'username';
$password = 'password';

try {
    $pdo = new PDO($dsn, $user, $password);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    $username = $_POST['username'];
    $email = $_POST['email'];

    $stmt = $pdo->prepare("INSERT INTO users (username, email) VALUES (?, ?)");
    $stmt->execute([$username, $email]);

    echo "用户注册成功！";

} catch (PDOException $e) {
    echo "连接失败: " . $e->getMessage();
}

// 使用mysqli
$conn = new mysqli("localhost", "username", "password", "mydatabase");
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}

$username = $_POST['username'];
$email = $_POST['email'];

$stmt = $conn->prepare("INSERT INTO users (username, email) VALUES (?, ?)");
$stmt->bind_param("ss", $username, $email); // "ss" 表示两个字符串参数

if ($stmt->execute()) {
    echo "用户注册成功！";
} else {
    echo "Error: " . $stmt->error;
}

$stmt->close();
$conn->close();

重点： 不要使用字符串拼接的方式构建SQL语句，即使你对数据进行了转义。

输入验证（Input Validation）： 对所有用户输入的数据进行验证，确保数据的格式、类型和长度符合预期。例如，如果需要一个整数，就使用intval()函数将其转换为整数；如果需要一个电子邮件地址，就使用filter_var()函数进行验证。
```
$username = $_POST['username'];
if (strlen($username) > 50) {
    die("用户名太长");
}

$email = $_POST['email'];
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    die("无效的邮箱地址");
}
```
思考： 除了长度和格式，还应该考虑字符集的限制，例如只允许使用字母、数字和下划线。
输出编码（Output Encoding）： 防止跨站脚本攻击（XSS）和SQL注入。在使用用户输入的数据之前，对其进行编码，确保特殊字符被正确转义。 htmlspecialchars()函数可以用来转义HTML实体。
```
echo htmlspecialchars($username, ENT_QUOTES, 'UTF-8');
```
提醒： 不要将未经验证的用户输入直接输出到HTML页面上。
最小权限原则（Least Privilege Principle）： 数据库用户只应该拥有执行其任务所需的最小权限。不要使用root用户连接数据库，而是创建一个专门用于应用程序的数据库用户，并授予其必要的权限，例如SELECT、INSERT、UPDATE和DELETE。

举例： 如果应用程序只需要读取数据，就不要授予其UPDATE和DELETE权限。

Video Ocean
人人皆导演，让视频创作变得轻松自如

下载
使用ORM（Object-Relational Mapping）： ORM框架可以自动处理SQL语句的构建和执行，从而降低SQL注入的风险。流行的PHP ORM框架包括Doctrine和Eloquent (Laravel)。

优点： ORM可以提高开发效率，并减少手动编写SQL语句的错误。

PHP如何安全地处理用户密码？

密码存储时应该进行哈希处理，而不是以明文形式存储。使用password_hash()函数可以生成安全的密码哈希值，password_verify()函数可以验证密码是否正确。

// 密码哈希
$password = $_POST['password'];
$hashed_password = password_hash($password, PASSWORD_DEFAULT);

// 密码验证
if (password_verify($password, $hashed_password_from_database)) {
    echo "密码正确";
} else {
    echo "密码错误";
}

注意： 不要使用过时的哈希算法，例如MD5和SHA1。

如何防止SQL注入中的盲注？

盲注是指攻击者无法直接看到SQL查询的结果，但可以通过改变输入来推断数据库的信息。防止盲注的方法包括：