PHP怎么防止SQL注入_预处理语句防注入方法【方法】-php教程-PHP中文网

必须用预处理语句（mysqli_prepare()或pdo::prepare()）防止sql注入，因其将sql结构与数据彻底分离；字符串拼接、转义函数及模拟预处理均不可靠。

php怎么防止sql注入_预处理语句防注入方法【方法】

为什么 `mysqli_query()` 拼接字符串一定会出事

因为用户输入的任何内容，只要没经过隔离处理，都会被数据库当作 SQL 代码执行。比如用户名填 ' OR '1'='1，密码留空，拼出来的语句就可能是：SELECT * FROM users WHERE name = '' OR '1'='1' AND pass = ''——直接绕过验证。

这种写法看着省事，但只要有一个地方漏了 mysqli_real_escape_string() 或忘了加引号，漏洞就开了。而且转义函数对某些编码边界情况（如宽字节注入）并不完全可靠。

不要用 mysqli_query() + 字符串拼接处理用户输入
mysqli_real_escape_string() 不是银弹，不能替代参数化
即使加了单引号包裹，id = $_GET['id'] 这种整数场景也得强转或预处理，否则 id=1 OR 1=1 仍可能生效

必须用 `mysqli_prepare()` + `mysqli_stmt_bind_param()`

预处理的本质是把 SQL 结构和数据彻底分开：数据库先编译语句模板，再把参数当纯数据塞进去，根本不会去解析它们是不是“SQL”。这是目前 PHP 原生 MySQL 扩展里最可靠的方式。

注意绑定类型字符必须和变量类型匹配，i（整数）、s（字符串）、d（双精度）、b（blob），错一个会导致绑定失败或值被截断。

```php
$stmt = mysqli_prepare($conn, "SELECT * FROM users WHERE email = ? AND status = ?");
mysqli_stmt_bind_param($stmt, "si", $email, $status);
$email = $_POST['email'];
$status = (int)$_POST['status'];
mysqli_stmt_execute($stmt);
```

? 占位符不能加引号，也不支持字段名、表名、排序方向（ORDER BY ? 是错的）
绑定前给变量赋值，不是绑定时传值；变量必须是真实存在的变量（不能是表达式或函数调用）
如果要动态表名，只能白名单校验后拼接，绝不可直接插进 prepare() 的 SQL 字符串里

PDO 的 `prepare()` 更灵活但默认不真预处理

PDO 默认开启模拟预处理（PDO::ATTR_EMULATE_PREPARES = true），也就是 PHP 自己做占位符替换，再发完整 SQL 给 MySQL——这等于退化回拼接，防不了所有注入。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

必须显式关掉模拟，并确认 MySQL 版本支持原生预处理（5.1.17+ 基本都行）。否则你以为安全了，其实没用。

```php
$pdo = new PDO($dsn, $user, $pass, [
    PDO::ATTR_EMULATE_PREPARES => false,
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION
]);
$stmt = $pdo->prepare("INSERT INTO logs (msg, level) VALUES (?, ?)");
$stmt->execute([$msg, $level]);
```

关掉 PDO::ATTR_EMULATE_PREPARES 后，如果 SQL 语法错误会报在 prepare() 阶段，而不是 execute() 时
MySQLi 和 PDO 的预处理行为一致，但 PDO 支持命名参数（:email），可读性略好
别信“PDO 更安全”的模糊说法——配置不对，它一样放行恶意输入