使用预处理语句可有效防止SQL注入，结合输入验证、最小权限原则和错误日志监控，确保数据库查询安全。
在PHP开发中，数据库安全查询是防止SQL注入攻击的核心环节。SQL注入是一种常见且危险的攻击方式，攻击者通过在输入中插入恶意SQL代码，可能窃取、篡改甚至删除数据库中的数据。以下是如何在PHP中执行安全查询并全面防止SQL注入的实用指南。
使用预处理语句（Prepared Statements）
预处理语句是防止SQL注入最有效的方法。它将SQL逻辑与数据分离，确保用户输入不会被当作SQL代码执行。
PDO 示例：
$pdo = new PDO($dsn, $username, $password);
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);
$user = $stmt->fetch();
MySQLi 示例（面向对象）：
立即学习“PHP免费学习笔记（深入）”；
$mysqli = new mysqli("localhost", "user", "pass", "database");
$stmt = $mysqli->prepare("SELECT * FROM users WHERE email = ?");
$stmt->bind_param("s", $email);
$stmt->execute();
$result = $stmt->get_result();
注意：不要手动拼接变量到SQL字符串中，即使使用了转义函数，也不如预处理安全。
正确过滤和验证用户输入
在数据进入数据库前，应进行严格的类型检查和格式验证。
- 使用 filter_var() 函数验证邮箱、URL等标准格式
- 对数字输入使用 is_numeric() 或 intval() 强制转换
- 限制字符串长度，避免超长输入引发问题
- 拒绝包含明显SQL关键字（如 SELECT、UNION、DROP）的输入（作为辅助检测）
示例：
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
die("无效邮箱格式");
}
最小权限原则与数据库账户配置
即使发生注入，也应限制其破坏范围。
- 为Web应用创建专用数据库用户，不使用root或高权限账号
- 按需分配权限，例如只赋予 SELECT、INSERT，避免授予 DROP、DELETE 或 FILE 操作权限
- 不同模块使用不同数据库用户，实现权限隔离
错误信息处理与日志监控
暴露数据库错误细节可能帮助攻击者构造攻击。
- 关闭 display_errors，在生产环境中记录错误到日志文件
- 使用 try-catch 捕获异常，返回友好提示而非原始错误
- 监控异常查询行为，如频繁失败登录、大量数据导出请求
示例配置：
// php.ini display_errors = Off log_errors = On error_log = /var/log/php-errors.log
基本上就这些。只要坚持使用预处理语句，配合输入验证和权限控制，就能有效抵御绝大多数SQL注入攻击。安全不是一次性任务，而是贯穿开发全过程的习惯。
