使用预处理语句（PDO/MySQLi）、输入验证、最小权限原则和ORM框架可有效防止SQL注入。PDO通过占位符分离数据与SQL，MySQLi使用bind_param绑定参数，filter_var等函数校验输入，数据库账户应限制权限，ORM如Eloquent自动转义查询，避免手动拼接SQL，全面保障应用安全。
如果您的PHP应用程序直接将用户输入拼接到SQL查询中，攻击者可能通过构造恶意输入来操纵数据库查询，从而窃取或破坏数据。以下是通过预处理语句和其他有效手段防止SQL注入的具体方法：
一、使用PDO预处理语句
预处理语句通过将SQL逻辑与数据分离，确保用户输入不会被当作SQL代码执行。PDO（PHP Data Objects）提供了对多种数据库的统一接口，并原生支持预处理功能。
1、创建PDO实例并连接数据库，设置错误模式为异常模式以便及时捕获错误。
2、编写包含占位符的SQL语句，例如使用:username作为命名参数。
立即学习“PHP免费学习笔记（深入）”；
3、调用prepare()方法解析SQL语句结构，数据库会预先编译该语句模板。
4、执行execute()方法时传入用户数据，PDO会自动对数据进行转义和类型处理。
二、使用MySQLi预处理语句
MySQLi扩展同样支持预处理语句，适用于使用MySQL数据库的应用程序。其机制与PDO类似，但语法略有不同。
1、建立MySQLi连接后，使用prepare()方法传入带有问号占位符的SQL语句。
2、在prepare()成功返回statement对象后，使用bind_param()方法绑定变量，指定参数类型如s表示字符串，i表示整数。
3、将用户输入作为变量传入bind_param()，确保数据与SQL指令分离。
4、调用execute()执行预编译后的语句，完成后关闭statement和连接资源。
三、对输入数据进行过滤与验证
在进入数据库操作前，应对所有外部输入实施严格的校验规则，减少潜在威胁。
1、使用filter_var()函数对邮箱、URL等特定格式的数据进行合法性检查。
2、针对数值型字段，采用is_numeric()或intval()强制转换类型，排除非数字字符。
3、限制输入长度，避免超长字符串引发缓冲区问题或隐藏恶意内容。
4、拒绝包含明显SQL关键字如SELECT、UNION、DROP的输入值，可结合正则表达式实现检测。
四、最小权限原则配置数据库账户
即使发生注入，低权限账户也能限制攻击者可执行的操作范围。
1、为Web应用创建专用数据库用户，避免使用root或管理员账号连接。
2、仅授予该用户必要的操作权限，例如仅允许对特定表执行SELECT、INSERT。
3、禁用文件操作类权限如FILE，防止利用LOAD_FILE()或SELECT...INTO OUTFILE读写服务器文件。
4、定期审查权限分配情况，移除不再需要的访问权限。
五、使用ORM框架替代原生SQL
对象关系映射（ORM）框架如Eloquent、Doctrine内置了安全的数据操作机制，能有效规避手写SQL带来的风险。
1、定义数据模型类对应数据库表结构，通过类属性映射字段。
2、利用ORM提供的查询构建器方法如where()、find()生成条件语句。
3、所有动态值均由框架内部自动处理转义，无需手动拼接SQL。
4、更新记录时使用save()或update()方法，框架会生成安全的UPDATE语句。
