php中如何防止sql注入 php防止sql注入的几种有效方法

下次还敢

发布时间：2025-08-29 13:36:02

253人浏览过

来源于php中文网

原创

使用预处理语句是防止SQL注入的核心方法，通过将SQL结构与数据分离，确保用户输入被当作参数处理而非可执行代码，从而有效阻止注入攻击。

php中如何防止sql注入 php防止sql注入的几种有效方法

防止PHP中的SQL注入，核心在于对用户输入进行严格的验证和过滤，并使用参数化查询或预处理语句。不信任任何来自客户端的数据！

解决方案

使用预处理语句 (Prepared Statements) 或参数化查询 (Parameterized Queries): 这是最有效的方法。预处理语句将SQL查询的结构与数据分开，数据库服务器会先编译SQL结构，然后将数据作为参数传递。这样，即使数据中包含SQL关键字，也会被当作普通数据处理，从而避免SQL注入。

// 使用PDO
$pdo = new PDO("mysql:host=localhost;dbname=mydatabase", "username", "password");
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->execute([$_POST['username'], $_POST['password']]);
$user = $stmt->fetch();

// 使用mysqli (预处理语句)
$mysqli = new mysqli("localhost", "username", "password", "mydatabase");
$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $_POST['username'], $_POST['password']); // "ss" 表示两个字符串
$stmt->execute();
$result = $stmt->get_result();
$user = $result->fetch_assoc();

输入验证和过滤: 虽然预处理语句是首选，但输入验证仍然很重要。验证可以确保输入的数据符合预期格式，减少意外错误，并提供额外的安全层。
- 白名单: 只允许特定的字符或格式。例如，如果期望一个整数，则只允许数字。
- 黑名单: 禁止特定的字符或关键字。例如，禁止
```
'
```
  、
```
"
```
  、
```
;
```
  、
```
--
```
  等SQL关键字。但是，黑名单方法通常不推荐，因为它很容易被绕过。
- 转义: 使用
```
htmlspecialchars()
```
  、
```
addslashes()
```
  或
```
mysqli_real_escape_string()
```
  等函数转义特殊字符。
```
mysqli_real_escape_string()
```
  是首选，因为它考虑到数据库的字符集。
```
// 使用 mysqli_real_escape_string
$username = $mysqli->real_escape_string($_POST['username']);
$password = $mysqli->real_escape_string($_POST['password']);

$sql = "SELECT * FROM users WHERE username = '" . $username . "' AND password = '" . $password . "'"; // 仍然不推荐直接拼接，这里只是展示转义
$result = $mysqli->query($sql);
```
注意:
```
addslashes()
```
函数不推荐使用，因为它不考虑数据库的字符集，并且在某些情况下可能无法防止SQL注入。

立即学习“PHP免费学习笔记（深入）”；
最小权限原则: 数据库用户只应具有执行其任务所需的最低权限。不要使用具有
```
root
```
或
```
admin
```
权限的用户连接到数据库。
错误处理: 不要在生产环境中显示详细的数据库错误信息。这可能会泄露敏感信息，帮助攻击者找到漏洞。应该记录错误信息，以便调试，但不要直接显示给用户。
定期更新: 保持PHP和数据库服务器更新到最新版本，以修复已知的安全漏洞。

如何使用PHP进行参数化查询以防止SQL注入？

参数化查询是防止SQL注入的有效方法，因为它将SQL查询的结构与数据分开。PHP提供了两种主要的方式来实现参数化查询：PDO和mysqli。

AIBox 一站式AI创作平台

AIBox365一站式AI创作平台，支持ChatGPT、GPT4、Claue3、Gemini、Midjourney等国内外大模型

下载

PDO (PHP Data Objects):

try {
    $pdo = new PDO("mysql:host=localhost;dbname=mydatabase", "username", "password");
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 开启错误报告

    $username = $_POST['username'];
    $email = $_POST['email'];

    $sql = "INSERT INTO users (username, email) VALUES (?, ?)";
    $stmt = $pdo->prepare($sql);
    $stmt->execute([$username, $email]);

    echo "用户已成功添加!";

} catch (PDOException $e) {
    echo "连接失败: " . $e->getMessage();
}

mysqli (MySQLi Extension):

$mysqli = new mysqli("localhost", "username", "password", "mydatabase");

if ($mysqli->connect_error) {
    die("连接失败: " . $mysqli->connect_error);
}

$username = $_POST['username'];
$email = $_POST['email'];

$sql = "INSERT INTO users (username, email) VALUES (?, ?)";
$stmt = $mysqli->prepare($sql);

$stmt->bind_param("ss", $username, $email); // "ss" 表示两个字符串

if ($stmt->execute()) {
    echo "用户已成功添加!";
} else {
    echo "错误: " . $stmt->error;
}

$stmt->close();
$mysqli->close();

在这些例子中，

是占位符，