最可靠方式是mysqli_prepare()+bind_param()预处理，因insert与select同具注入风险，仅字符串拼接、intval()强转或mysql_real_escape_string均不安全；表名等动态部分须白名单校验。
用 mysqli_prepare() + mysqli_stmt_bind_param() 插入数据，是当前 PHP 操作 MySQL 时防 SQL 注入最可靠的方式；其他任何字符串拼接、mysqli_real_escape_string() 单独使用、或模拟预处理，都不能保证安全。
为什么 INSERT 也必须用预处理，不能只对 SELECT 用
INSERT 和 SELECT 面临完全相同的注入风险：只要用户输入进了 SQL 字符串，就可能被解析为代码。比如插入用户名时填 ' OR '1'='1，如果拼成："INSERT INTO users (name) VALUES ('" . $_POST['name'] . "')，实际执行的就是：INSERT INTO users (name) VALUES ('' OR '1'='1')——语法合法，但语义已被篡改。
常见错误现象：
- 用
intval()或(int)强转数字字段后直接拼接，如"id = " . (int)$_GET['id']—— 这能防数字型注入，但无法覆盖多字段、含字符串、含 NULL 或默认值的场景 - 对字符串字段调了
mysqli_real_escape_string()却忘了加单引号，导致绕过 - 误以为“只插数据不查数据就没事”，忽略了攻击者可通过报错回显、盲注等方式窃取信息
INSERT 预处理的正确写法（面向对象风格）
核心是三步：prepare → bind_param → execute。类型字符必须匹配，变量必须是真实存在的引用。
示例（插入用户）：
$stmt = $mysqli->prepare("INSERT INTO users (username, email, age, status) VALUES (?, ?, ?, ?)");
$stmt->bind_param("sisi", $username, $email, $age, $status);
$username = $_POST['username'] ?? '';
$email = filter_var($_POST['email'] ?? '', FILTER_VALIDATE_EMAIL);
$age = (int)($_POST['age'] ?? 0);
$status = $_POST['status'] === 'active' ? 1 : 0;
$stmt->execute();
关键点：
-
"sisi"中每个字母对应一个参数：s=string，i=int，顺序和数量必须与VALUES中的?完全一致 - 绑定前必须给变量赋值，且变量名要真实存在（不能写
bind_param("s", $_POST['user'])） - 字符串字段建议配合
filter_var()做格式校验，但校验 ≠ 替代预处理 - 整数字段仍要用
i类型绑定，不要靠拼接时强转来“省事”
容易踩的坑：表名、字段名、ON DUPLICATE KEY 不能参数化
INSERT 语句里只有 VALUES 和 SET 子句中的值能用 ? 占位；其余部分一律不行。
典型错误写法：
-
$table = $_GET['t']; $mysqli->prepare("INSERT INTO {$table} (...)")—— 表名必须白名单校验：in_array($table, ['users', 'logs'], true) -
"INSERT INTO users (...) VALUES (?) ON DUPLICATE KEY UPDATE name = ?"——ON DUPLICATE KEY UPDATE后的字段名不能是?，只能拼接，且字段名必须白名单控制 -
"INSERT INTO users SELECT ? FROM other_table"——SELECT子句里的?是非法的，MySQL 不支持
如果业务真需要动态字段更新（比如用户可选更新哪些列），只能拆成多个固定语句 + 白名单开关，或者用 INSERT ... SET 配合条件判断生成不同 SQL 模板。
mysqli_report() 和错误模式要提前开
默认情况下，mysqli 出错只返回 false，不报异常，容易掩盖绑定失败、类型错配等问题。
建议在连接后立即启用严格模式：
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); $mysqli = new mysqli($host, $user, $pass, $db);
这样一旦 bind_param() 类型不匹配、变量未定义、SQL 语法错，都会抛出 mysqli_sql_exception，而不是静默失败或截断数据。
真正难防的不是语法错，而是那些“看起来执行成功了，但值被截断、类型被转换、甚至插入了空字符串却没报错”的情况——这些只在开启严格报告后才暴露。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
