由 dawei 
创意图AI设计，仅供参考
SQL注入是Web应用最古老也最危险的安全威胁之一，PHP项目若缺乏系统性防御，极易成为攻击跳板。真正的防护不依赖单一手段，而需构建数据输入、处理与执行三阶段的硬核协同体系。
第一层：输入端强约束与净化。所有外部输入（GET/POST/COOKIE/HTTP头）必须视为不可信源。采用白名单校验而非黑名单过滤——例如用filter_var()验证邮箱、用is_numeric()判断数字类型、用preg_match()匹配严格格式的手机号。对无法规避的用户自由文本，立即进行HTML实体编码（htmlspecialchars）与字符集标准化（mb_convert_encoding），从源头切断恶意结构嵌入可能。
第二层：逻辑层参数化绑定。绝对禁止拼接SQL字符串，无论变量是否“看起来安全”。统一使用PDO或MySQLi的预处理语句（Prepared Statements），将SQL结构与数据彻底分离。参数绑定时明确指定类型（PDO::PARAM_INT、PDO::PARAM_STR），让数据库引擎天然拒绝语义混淆。即使传入’1 OR 1=1’，也会被当作普通字符串字面量处理，无法触发逻辑篡改。
第三层：执行端最小权限与错误屏蔽。数据库连接账号仅授予必要表的CRUD权限，禁用DROP、ALTER、UNION等高危操作权限。生产环境关闭所有SQL错误回显（display_errors=Off），启用错误日志但不暴露表名、字段名、数据库版本等敏感信息。同时配置PDO的ATTR_EMULATE_PREPARES为false，强制使用原生预处理，规避模拟预处理下的绕过风险。
三层并非叠加冗余，而是形成闭环校验：输入层堵住非法结构，逻辑层确保数据不参与SQL语法构造，执行层收窄破坏边界。当某一层因业务特殊性存在妥协（如动态排序字段），必须在该点引入额外校验（如枚举合法列名）并强化审计日志。防御的本质不是寻找“完美方案”，而是让攻击者无法跨越任意一道关卡。