使用预处理语句可有效防止SQL注入，通过PDO或MySQLi将SQL逻辑与数据分离，结合参数化查询、输入验证、特殊字符转义及最小权限原则，全面提升PHP应用安全性。
如果您在开发PHP应用程序时直接将用户输入拼接到SQL查询中，数据库可能会执行恶意指令，导致数据泄露或篡改。以下是防止此类安全问题的有效措施。
本文运行环境：MacBook Pro，macOS Sonoma
一、使用预处理语句（Prepared Statements）
预处理语句通过将SQL逻辑与数据分离，确保用户输入不会被当作可执行代码解析，从根本上阻止注入行为。
1、使用PDO扩展创建预处理查询，将用户变量绑定为参数。
2、编写包含占位符的SQL语句，例如：SELECT * FROM users WHERE id = ?。
3、调用prepare()方法准备语句，再通过execute()传入参数数组执行。
4、对于命名参数，可使用:username格式，并在执行时提供对应键值对。
二、采用参数化查询（Parameterized Queries）
参数化查询强制开发者定义SQL代码结构，所有外部输入均作为数据处理，无法改变原始查询意图。
1、在MySQLi面向对象模式中，使用$mysqli->prepare()初始化语句对象。
2、构建带有问号占位符的SQL命令，如：INSERT INTO logs (ip
, action) VALUES (?, ?)。
3、利用bind_param()方法绑定变量类型和值，确保数据正确传递。
4、执行完毕后检查返回结果，确认操作是否成功完成。
三、对输入进行严格过滤与验证
在数据进入业务逻辑前实施白名单式校验，排除非法字符和非预期格式，降低攻击面。
1、针对数字字段，使用filter_var()配合FILTER_VALIDATE_INT或FILTER_VALIDATE_FLOAT进行类型确认。
2、对于字符串内容，限定允许的字符范围，拒绝包含单引号、分号等危险符号的输入。
3、设置最大长度限制，防止超长payload绕过检测机制。
4、使用正则表达式匹配预期模式，例如邮箱、手机号等标准化格式。
四、转义特殊字符
当无法使用预处理时，必须对用户输入中的SQL特殊字符进行转义处理，避免语法结构被破坏。
1、在MySQLi环境中调用real_escape_string()方法处理每一个外部输入值。
2、注意该函数依赖有效数据库连接，需确保连接已建立后再执行转义操作。
3、特别关注单引号、双引号、反斜杠及NULL字节，这些字符极易引发注入漏洞。
4、即使进行了转义，仍建议优先采用预处理方案以获得更高安全保障。
五、最小权限原则配置数据库账户
限制应用所使用的数据库账号权限，即便发生注入，也能控制攻击者可执行的操作范围。
1、创建专用数据库用户，仅授予当前应用必需的数据操作权限。
2、禁止赋予DROP、CREATE、ALTER等DDL权限，防止结构被恶意修改。
3、限制访问特定表或视图，避免跨表探测和敏感信息读取。
4、定期审查权限分配情况，移除不再需要的特权设置。
