PHP进阶：站长必学的SQL注入防御实战

　　SQL注入是网站最常见且危害极大的安全漏洞，攻击者通过拼接恶意SQL语句窃取、篡改甚至删除数据库数据。站长若仍用老旧的`mysql_`函数或直接拼接用户输入，风险极高。

　　核心防御原则是：永远不信任用户输入，绝不将未经处理的变量直接嵌入SQL语句。例如`$id = $_GET['id'];`后直接写`"SELECT FROM users WHERE id = $id"`，就为攻击敞开大门。

　　首选方案是使用PDO预处理语句。它将SQL结构与数据严格分离：先准备语句`$stmt = $pdo->prepare("SELECT FROM users WHERE username = ?")`，再安全绑定参数`$stmt->execute([$username])`。问号占位符确保输入仅作为数据处理，无法改变SQL逻辑。

AI模拟效果图，仅供参考

　　若用MySQLi，同样支持预处理：`$stmt = $mysqli->prepare("UPDATE logs SET ip = ? WHERE id = ?")`，接着用`bind_param("si", $ip, $id)`绑定字符串和整数类型，自动转义且类型明确。

　　对动态表名、字段名等无法预处理的极少数场景，必须白名单校验。例如允许排序字段仅限`['name', 'created_at', 'status']`，用`in_array($order_field, $whitelist)`判断，禁止任何自由拼接。

　　禁用`addslashes()`或`magic_quotes_gpc`——它们不能覆盖所有编码绕过，且已废弃。`htmlspecialchars()`用于输出防XSS，对SQL注入无效；数据库连接务必指定字符集（如`charset=utf8mb4`），防止宽字节注入。

　　部署前开启PDO的错误模式`$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION)`，避免暴露敏感信息；生产环境关闭`display_errors`，只记录日志。定期用工具扫描SQL注入点，并对管理员登录、搜索、评论等高危接口重点加固。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!