零基础学PHP Web安全：SQL注入防护实战

PHP开发中，SQL注入是最常见且危害极大的安全漏洞。攻击者通过构造恶意输入，欺骗数据库执行非授权操作，可能导致数据泄露、篡改甚至服务器沦陷。

问题往往源于直接拼接用户输入到SQL语句中。例如：$sql = \”SELECT FROM users WHERE username = ‘$username’\”; ——当用户输入 ‘ OR ‘1’=’1 时，查询变成 SELECT FROM users WHERE username = ” OR ‘1’=’1’，绕过登录验证。

根本解法是使用预处理语句（Prepared Statements）。PDO和MySQLi均支持：$stmt = $pdo->prepare(\”SELECT FROM users WHERE username = ?\”); $stmt->execute([$username]);。问号占位符由驱动安全绑定参数，彻底阻断SQL结构被污染的可能。

创意图AI设计，仅供参考

若必须动态表名或列名（如排序字段），无法用占位符，须严格白名单校验。例如：$allowed_fields = [‘name’, ’email’, ‘created_at’]; if (!in_array($sort, $allowed_fields)) { die(‘Invalid field’); } $sql = \”ORDER BY $sort\”;。

不要依赖过滤函数如 addslashes() 或 magic_quotes_gpc（已废弃）——它们不能覆盖所有编码绕过场景，且易被多字节字符或宽字符攻击绕过。

错误信息也需防护。生产环境应关闭 display_errors，并记录错误到日志而非返回给用户。否则详细的MySQL报错（如“Unknown column”）会暴露数据库结构，辅助攻击者精准构造payload。

还需配合其他基础防护：使用最小权限数据库账号（避免root）、开启PDO的ATTR_EMULATE_PREPARES=false（确保真预处理）、对输入做类型转换（如 intval($_GET[‘id’]) 处理数字ID）。

安全不是某一行代码的事，而是贯穿开发流程的习惯。每次接收用户输入，都应默认视为不可信；每条SQL执行前，都该确认是否经由参数化绑定。把防护逻辑内化为本能，才能在零基础起点，筑起真正的Web安全防线。