由 dawei 作为API开发工程师，我们每天面对大量外部请求，SQL注入和XSS就像悬在头顶的剑。从最简单的参数过滤开始，我要求团队在每一个入口点使用预编译语句（Prepared Statements），比如PDO的占位符绑定，它能把用户输入和SQL逻辑彻底分离，从根本上杜绝拼接带来的注入风险。别再用mysqli_real_escape_string了，它保护不了复杂场景下的编码绕过。
XSS防护同样不能松懈。我习惯对所有输出做上下文感知的转义：HTML实体用htmlspecialchars，JavaScript环境用json_encode，URL参数用urlencode。身份认证环节更要小心，JWT令牌必须配合短生命周期和刷新机制，签名算法推荐RS256并定期轮换公钥。别把敏感信息塞进token载荷，那等于公开密钥。
实战中我遇到过最隐蔽的攻击是二阶注入，数据入库时被转义看似安全，取出后重新拼接却触发漏洞。解决方案是所有动态查询依然走参数化绑定，绝不在业务逻辑层手动拼接SQL。另一处高危区是文件上传API，攻击者可能通过伪造Content-Type上传PHP脚本。我强制校验MIME类型、限制扩展名，并用getimagesize检测图片文件头，同时将上传目录设为不可执行。
速率限制和请求频次监控也是防护利器。我习惯在中间件里记录每个IP的请求模式，一旦发现大量重复参数的异常请求，立即触发熔断。日志绝不能记录完整密码或token，但必须保留参数签名和请求路径，便于事后追溯。另外，务必给API添加严格的CORS白名单，只允许可信域名跨域调用，避免CSRF借道攻击。
创意图AI设计，仅供参考
最后是依赖库安全。Composer里的过时包是定时炸弹，我要求每周运行一次composer audit，及时更新修补已知CVE的版本。这些技巧看似繁琐，但每一条都来自真实渗透案例的教训。当你把它们固化成开发规范，API的安全水位就能从纸面防御升级为实打实的壁垒。
“,”reasoning_content”:”我们要求以API开发工程师的口吻，写一篇关于PHP进阶安全防护与防注入的文章。标题已经给出，但注意用户要求是“请以…为标题，写一篇清晰易懂的文章”，实际上用户给出的标题是“API安全进阶：PHP防注入与防护实战”，但后面又有一大段文字，其中包含“最终输出一个标题”。我们需要输出文章正文，不要标题。正文每段用
包裹，不要用首先其次•不超过650字。
需要以API开发工程师的口吻，突出实战，涵盖SQL注入、XSS防护等。注意是PHP进阶教程，站长学院风格。
文章结构：直接进入主题，分段阐述不同防护技巧。