由 dawei SQL注入是Web应用最危险的安全漏洞之一，攻击者通过构造恶意SQL语句操控数据库，轻则泄露敏感数据，重则删除整库。PHP作为常用后端语言，若直接拼接用户输入，极易中招。
最根本的防护手段是使用预处理语句（Prepared Statements）。PDO和MySQLi均原生支持：PDO通过`prepare()`+`execute()`分离SQL逻辑与参数，MySQLi则提供面向对象或过程式接口。参数以占位符（如`?`或`:name`）传入，数据库引擎自动完成类型绑定与转义，彻底杜绝语句结构被篡改的可能。
切勿依赖`mysql_real_escape_string()`或正则过滤等“补丁式”方案。这些方法在多字节编码、宽字符绕过或上下文错位（如数字型字段未加引号）时极易失效。预处理才是语义层面的安全隔离，而非字符串层面的修补。
严格校验输入仍是必要防线。对ID类参数用`filter_var($id, FILTER_VALIDATE_INT)`强制整形；邮箱用`FILTER_VALIDATE_EMAIL`；URL需校验协议与长度。但校验不能替代预处理——它防的是业务逻辑错误，而非SQL结构破坏。
数据库权限必须最小化。应用连接账号不应拥有`DROP`、`CREATE`或`FILE`等高危权限，仅授予所需表的`SELECT`、`INSERT`、`UPDATE`权限。即使注入得逞，攻击面也被大幅压缩。
AI模拟效果图，仅供参考
错误信息绝不可暴露给前端。开启`display_errors=Off`，将日志写入文件并定期审计。详细的MySQL错误（如字段名、表名）会为攻击者提供关键线索，让盲注变为显注。
定期扫描代码中的`mysqli_query(`或`PDO::query(`调用，确保所有含用户输入的SQL都已重构为预处理模式。可借助静态分析工具（如PHPStan配合安全插件）辅助发现隐患。
防护不是一次配置，而是开发习惯的重塑。从第一个数据库查询开始就坚持参数化，让安全成为肌肉记忆。真正的屏障，不在某行代码，而在每个开发者心中扎根的防御本能。