由 dawei SQL注入是PHP应用中最危险的漏洞之一，攻击者通过构造恶意SQL语句，绕过身份验证、窃取数据甚至删除整个数据库。根本原因在于将用户输入直接拼接到SQL查询中，未做任何安全处理。
最可靠的方法是使用PDO或MySQLi的预处理语句（Prepared Statements）。它将SQL逻辑与参数严格分离：先编译语句模板，再安全绑定变量。例如PDO中调用prepare()和bindValue()，数据库引擎会把参数视为纯数据，绝不会当作SQL代码执行。
严禁使用过时的mysql_函数，它们已被废弃且不支持预处理。即使使用mysqli，也必须显式调用prepare()和bind_param()，而非简单的mysqli_query()拼接字符串。字符串型参数需加引号、数字型参数需类型校验——这些都由预处理自动完成，无需手动转义。
mysql_real_escape_string()或addslashes()等“转义”方案已被证明存在绕过风险，尤其在多字节编码或宽字符场景下可能失效，不应作为防护主力。magic_quotes_gpc更早已被移除，依赖它等于埋雷。
输入验证与输出编码是重要补充：对ID类参数强制整型转换（(int)$id）或使用filter_var($input, FILTER_VALIDATE_INT)；对用户名、邮箱等字段采用白名单正则限制格式；数据库返回的数据在HTML页面输出前，务必用htmlspecialchars()防止XSS连带攻击。
权限最小化原则同样关键：应用数据库账号仅授予必需权限（如仅SELECT/INSERT），禁用DROP、ALTER、UNION SELECT等高危操作。生产环境关闭错误报告（display_errors = Off），避免泄漏表结构或SQL片段，改用日志记录异常。
AI模拟效果图，仅供参考
定期进行代码审计与自动化扫描（如phpstan、security checker），配合渗透测试验证防护效果。记住：安全不是功能开关，而是贯穿开发、测试、部署每个环节的习惯。每一次拼接SQL前的停顿，都是对系统最实际的守护。