如何在PHP项目中使用Prepare Statement修复SQL注入？-SQL-PHP中文网

因为预处理语句要求sql结构固定，字符串拼接会提前污染sql模板，使占位符失效；必须用?占位并严格匹配bind_param的类型、顺序和引用传递。

如何在php项目中使用prepare statement修复sql注入？

为什么 `mysqli_prepare()` 不能直接用字符串拼接参数

因为 mysqli_prepare() 的第二个参数是 SQL 模板，其中的占位符（? 或命名参数）必须在执行前绑定变量，而不是把值拼进 SQL 字符串里。一旦你写成 "SELECT * FROM users WHERE id = " . $_GET['id']，再套 prepare() 也毫无意义——SQL 已经被污染了。

常见错误现象：mysqli_prepare() 返回 false，但没检查就继续调用 bind_param()，导致致命错误；或者绑定了变量却忘了调用 execute()，结果查不到数据。

必须用 ? 占位，且数量、类型、顺序要和 bind_param() 严格一致
bind_param() 第一个参数是类型字符串："i"（整型）、"s"（字符串）、"d"（浮点）、"b"（blob），不能写错
绑定的变量必须是引用（PHP 5.6+ 支持传值，但老项目仍常见 &$var 写法）

如何用 PDO::prepare() 处理不同数据类型和 NULL 值

PDO::prepare() 更灵活，支持命名参数（如 :name）和位置参数（?），但类型推断靠 bindValue() 或 bindParam() 显式控制。尤其注意 NULL 值——如果直接传 null，PDO 默认当字符串处理，可能触发类型不匹配或隐式转换。

使用场景：用户搜索带空值的字段（如可选的年龄范围）、更新时允许某些字段置空。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

用 bindValue(':age', $age, PDO::PARAM_INT) 显式声明类型，避免自动转字符串
传 NULL 时，PDO::PARAM_NULL 是安全写法，比如 bindValue(':city', null, PDO::PARAM_NULL)
不要混用命名参数和位置参数在同一语句中，PDO 会报 SQLSTATE[HY093]
批量插入时，execute() 接收数组即可，但数组键名必须和命名参数完全一致

预处理语句失效的三种典型情况

不是用了 prepare() 就万事大吉。以下情况会让预处理退化为普通查询，失去防注入能力：

表名、列名、排序字段（ORDER BY）用参数绑定——语法错误，? 只能代入值，不能代入标识符
SQL 拼接发生在 prepare() 调用之前，比如 $sql = "SELECT * FROM " . $_GET['table']; $pdo->prepare($sql)
使用 mysql_real_escape_string() 或 addslashes() 后再进 prepare()——多余且危险，可能双重转义或漏逃

正确做法：表名/列名只能白名单校验（如 in_array($table, ['users', 'posts'])），不能靠绑定。

调试时怎么确认预处理真生效了

最直接的办法是看 MySQL 的 general_log 或用 SHOW PROCESSLIST 观察实际执行的语句。但开发期更实用的是检查绑定是否成功、参数是否被替换。

对 mysqli：调用 prepare() 后立刻检查返回值，if (!$stmt = $mysqli->prepare($sql)) { die($mysqli->error); }
对 PDO：启用异常模式 $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION)，让错误中断流程
执行后用 get_result()（mysqli）或 fetch()（PDO）取结果，别只依赖 execute() 返回 true——它只表示语句发出去了，不保证有数据
在测试用例里故意传含单引号的字符串（如 O'Reilly），看是否报错或查出意外记录