本文目录导读：
保护 PHP 项目免受 SQL 注入攻击的最有效、最核心的方法是 使用参数化查询（Prepared Statements），这是唯一能从根本上防御 SQL 注入的方法。
以下是详细的、分层级的保护措施,从最重要的到补充性的：
第一层：最佳实践 - 参数化查询（Prepared Statements）
这应该是你的默认选择，无论使用什么数据库扩展，参数化查询将 SQL 逻辑与数据完全分开，数据库会首先编译 SQL 结构，然后安全地绑定参数，这样用户输入的任何内容都不会被当作 SQL 代码执行。
使用 PDO (PHP Data Objects) - 推荐 PDO 提供了一个统一的接口来访问多种数据库。
<?php
// 1. 创建 PDO 连接
$pdo = new PDO('mysql:host=localhost;dbname=testdb;charset=utf8mb4', 'user', 'password');
// 让 PDO 在出错时抛出异常，便于调试
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 2. 准备 SQL 语句（使用占位符 :name 或 ? ）
$sql = "SELECT * FROM users WHERE email = :email AND status = :status";
$stmt = $pdo->prepare($sql);
// 3. 绑定参数并执行
$stmt->execute([
':email' => $_POST['email'], // 用户输入直接绑定，安全！
':status' => 'active'
]);
// 4. 获取结果
$users = $stmt->fetchAll(PDO::FETCH_ASSOC);
?>
使用 MySQLi（面向对象风格） - 次选，仅限 MySQL 如果你的项目已经使用了 MySQLi,也可以使用参数化查询。
<?php
// 1. 创建 MySQLi 连接
$mysqli = new mysqli('localhost', 'user', 'password', 'testdb');
// 2. 准备 SQL 语句（使用 ? 占位符）
$sql = "SELECT * FROM users WHERE email = ? AND status = ?";
$stmt = $mysqli->prepare($sql);
// 3. 绑定参数 (s = string, i = integer, d = double, b = blob)
$email = $_POST['email'];
$status = 'active';
$stmt->bind_param("ss", $email, $status); // "ss" 表示两个字符串参数
// 4. 执行
$stmt->execute();
// 5. 获取结果
$result = $stmt->get_result();
$users = $result->fetch_all(MYSQLI_ASSOC);
?>
关键点： 永远不要将用户输入直接拼接到 SQL 字符串中。$sql = "SELECT * FROM users WHERE id = " . $_GET['id']; 这种写法必须彻底杜绝。
第二层：输入验证与过滤（辅助措施，不是替代方案）
参数化查询是主力，但结合输入验证可以增加一层深度防御,并提高代码健壮性。
-
验证数据类型：确保数字确实是数字，字符串在合理长度内,邮箱格式正确等。
// 强制转换为整数 $id = (int) $_GET['id']; // id 不是数字，会变成 0 // 使用 filter_var 验证邮箱 $email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL); if ($email === false) { // 处理无效邮箱 } -
输出转义（与数据库无关）：这是为了防御 XSS（跨站脚本攻击），不是 SQL 注入，当你从数据库取出数据并输出到 HTML 时，使用
htmlspecialchars()。echo htmlspecialchars($user['username'], ENT_QUOTES, 'UTF-8');
第三层：附加数据库与系统级防御
-
最小权限原则：
- 你的 PHP 连接数据库的账户，不要使用
root或具有CREATE,DROP,ALTER或FILE权限的账户。 - 只赋予它
SELECT,INSERT,UPDATE,DELETE等必要的权限，即使是管理员操作,也建议使用单独的更高权限账户。
- 你的 PHP 连接数据库的账户，不要使用
-
禁用危险函数与特性：
- 绝不要使用
mysql_*系列函数（已从 PHP 7.0 彻底移除）。 - 避免使用
mysqli::real_escape_string作为唯一的保护手段，它是对字符串转义，但不能完全防御所有注入（当使用多字节字符集不当，如GBK时可能被绕过）。参数化查询可以完美避免这个问题。
- 绝不要使用
第四层：常见错误与陷阱
-
在存储过程中拼接 SQL：如果你在 MySQL 的存储过程中
CONCAT用户输入，仍然存在 SQL 注入风险，参数化查询只保护了 PHP 到数据库的通道，不能保护数据库内部的动态 SQL。 -
LIKE查询：LIKE语句中的 和 是通配符，如果你使用参数化查询处理LIKE,需要特殊处理用户输入的这些字符。// 用户输入： "test%" $search = str_replace(['%', '_'], ['\%', '\_'], $_GET['search']); // 转义通配符 $sql = "SELECT * FROM products WHERE name LIKE :search"; $stmt->execute([':search' => '%' . $search . '%']);
-
ORDER BY、LIMIT、IN子句：ORDER BY {column_name}中的列名不能用参数化查询绑定（参数只能替代数据值，不能是列名、表名或 SQL 关键字）。- 解决方案：白名单验证，将允许的列名硬编码在一个数组里，然后验证用户输入是否在数组中。
$allowedColumns = ['price', 'name', 'date']; $orderBy = $_GET['order']; if (in_array($orderBy, $allowedColumns)) { $sql = "SELECT * FROM products ORDER BY $orderBy"; // 安全，因为值是固定的 } else { $orderBy = 'id'; // 默认值 } IN子句：需要为每个值生成一个占位符。$ids = [1, 2, 3]; // 先验证这些是整数 $placeholders = implode(',', array_fill(0, count($ids), '?')); $stmt = $pdo->prepare("SELECT * FROM users WHERE id IN ($placeholders)"); $stmt->execute($ids);
优先级清单
- 最高优先级：对所有 SQL 查询使用 PDO 或 MySQLi 的参数化查询，忘记
mysql_*函数。 - 高优先级：使用最小权限的数据库用户。
- 中优先级：对用户输入进行类型验证和白名单验证。
- 低优先级：对输出进行 HTML 转义（用于防 XSS，非 SQL 注入）。
一句话记住： 数据是数据，代码是代码，永远不要让他们混在一起,参数化查询是隔离它们的最强防火墙。
