使用预处理语句、输入验证、转义特殊字符、最小权限原则和ORM工具可有效防止PHP中的SQL注入漏洞，保障应用安全。
如果您的PHP应用程序在处理用户输入时未进行适当的安全过滤，可能会导致SQL注入等严重安全漏洞。以下是防止此类问题的有效方法：
本文运行环境：Lenovo ThinkPad X1 Carbon，Ubuntu 24.04
一、使用预处理语句与参数化查询
预处理语句能将SQL逻辑与数据分离，确保用户输入不会被当作SQL代码执行。
1、使用PDO扩展创建预处理语句：使用bindParam或execute传参，避免直接拼接字符串。
立即学习“PHP免费学习笔记（深入）”；
2、示例代码如下：
$pdo = new PDO("mysql:host=localhost;dbname=test", $user, $pass);
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);
3、命名占位符方式更清晰：
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->bindParam(':email', $email, PDO::PARAM_STR);
$stmt->execute();
二、对输入数据进行类型验证和过滤
通过强制校验输入类型和格式，可以有效排除恶意构造的数据。
1、使用filter_var函数过滤常见数据类型：
例如邮箱验证：filter_var($email, FILTER_VALIDATE_EMAIL) 可判断是否为合法邮箱格式。
2、整数输入应使用FILTER_VALIDATE_INT：
$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT);
if ($id === false) { /* 处理非法输入 */ }
3、自定义白名单规则限制输入内容范围，超出则拒绝处理。
三、转义特殊字符（仅限非预处理场景）
当无法使用预处理语句时，必须对输入中的特殊字符进行转义以阻止SQL语法解析。
1、使用mysqli_real_escape_string函数转义字符串：
$escaped_input = mysqli_real_escape_string($connection, $user_input);
2、注意该函数需在指定字符集下工作，务必调用set_charset设置正确编码，如UTF-8，防止宽字节注入。
3、构造SQL时仍需将转义后的值用引号包围：
"SELECT * FROM table WHERE name = '$escaped_input'"
四、最小权限原则配置数据库账户
即使发生注入，低权限账户也能减少可执行操作的范围。
1、为Web应用分配专用数据库用户，禁止赋予DROP、CREATE、GRANT等高危权限。
2、根据业务需求仅开放必要的表访问权限。
3、定期审查数据库用户的权限设置，移除不再需要的访问权。
五、使用安全的抽象层或ORM工具
现代框架提供的数据访问层通常内置防护机制，降低手动编写SQL的风险。
1、采用Laravel的Eloquent ORM进行查询：
User::where('email', $request->input('email'))->first();
2、Doctrine、Symfony中的Query Builder也支持参数化操作。
3、这些工具自动处理底层绑定逻辑，开发者无需手动拼接SQL语句，显著提升安全性。
