防止sql注入需综合采用预处理语句、输入验证、权限最小化、orm安全接口及错误脱敏：一、用pdo prepare/execute实现参数化查询；二、filter_var严格校验输入类型与格式；三、数据库账号仅授必要权限；四、优先使用orm链式方法，禁用raw接口；五、关闭错误显示，捕获异常并返回泛化提示。
如果您的PHP应用程序直接将用户输入拼接到SQL查询中，攻击者可能通过构造恶意输入来执行非授权的数据库操作。以下是防止SQL注入攻击的多种有效方法：
一、使用预处理语句与参数化查询
预处理语句将SQL逻辑与数据严格分离，数据库引擎在执行前先编译语句结构，再安全地绑定用户输入值，从根本上杜绝SQL结构被篡改的可能性。
1、使用PDO创建预处理语句，调用prepare()方法传入含占位符的SQL字符串。
2、调用execute()方法并传入关联数组或索引数组，其中键名或顺序需与占位符一一对应。
立即学习“PHP免费学习笔记（深入）”；
3、对于命名占位符（如:username），确保数组键名为'username'；对于问号占位符，确保数组为索引格式且顺序正确。
4、避免在占位符位置插入表名、列名或ORDER BY字段，这些必须通过白名单校验后硬编码或使用filter_var()配合允许列表判断。
二、严格验证与过滤用户输入
在接收用户数据后立即进行类型、格式和范围校验，拒绝不符合预期的数据，从源头降低风险。
1、对整数型参数使用filter_var($input, FILTER_VALIDATE_INT)，并指定options限定最小值与最大值。
2、对邮箱地址使用filter_var($input, FILTER_VALIDATE_EMAIL)，返回false即表示非法。
3、对URL使用filter_var($input, FILTER_VALIDATE_URL)，可附加FILTER_FLAG_PATH_REQUIRED等标志增强校验强度。
4、对自由文本内容，使用htmlspecialchars($input, ENT_QUOTES, 'UTF-8')转义HTML特殊字符，防止XSS与部分上下文中的SQL混淆。
三、限制数据库账户权限
应用程序所使用的数据库账号不应拥有超出业务所需的权限，即使SQL注入成功，也无法执行高危操作。
1、为应用创建专用数据库用户，仅授予SELECT、INSERT、UPDATE、DELETE等必要权限，禁用DROP、CREATE、ALTER、EXECUTE、FILE等高危权限。
2、避免使用root或sa等超级用户连接生产数据库。
3、若业务无需跨库访问，显式指定数据库名称并在连接时限定默认库，防止通过database.table语法越权访问其他库。
4、在MySQL中，通过REVOKE语句移除不必要的权限，并用SHOW GRANTS FOR 'user'@'host'确认最终权限集。
四、使用ORM框架的安全查询接口
主流ORM（如Laravel Eloquent、Doctrine DBAL）默认采用参数化机制封装SQL构建过程，调用其查询方法可自动规避拼接风险。
1、使用Eloquent的where()链式方法传递条件，例如User::where('email', $request->email)->first()，底层自动生成预处理语句。
2、避免在ORM中使用whereRaw()、DB::raw()或selectRaw()等原始SQL接口，除非已对其中所有变量进行双重校验并使用?占位符绑定。
3、若必须动态构建列名或表名，先将其与预定义白名单数组比对，例如in_array($column, ['name', 'email', 'status']) === true，否则抛出异常。
4、启用ORM的查询日志功能（如DB::enableQueryLog()）仅用于调试，上线前必须关闭，防止敏感SQL泄露。
五、启用错误信息屏蔽与自定义异常处理
数据库错误详情（如字段名、表名、SQL语法结构）可能被攻击者利用以辅助注入探测，应统一捕获并返回泛化提示。
1、在PHP配置中设置display_errors = Off，并确保log_errors = On，使错误写入日志而非输出到页面。
2、在PDO连接选项中添加PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，使所有数据库异常抛出PDOException。
3、使用try-catch捕获PDOException，记录完整错误信息到服务器日志，但向用户仅返回“系统繁忙，请稍后重试”等不暴露技术细节的提示。
4、对MySQLi扩展，调用mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT)开启异常模式，并同样做异常捕获与脱敏处理。
