如何用PHP预处理语句防止SQL注入-SQL-PHP中文网

pdo::prepare()能防sql注入是因为数据库服务端先解析含占位符的sql模板，再单独接收参数值，实现物理隔离；关键需禁用模拟预处理、正确绑定参数、不拼接sql。

如何用php预处理语句防止sql注入

直接用 PDO::prepare() 或 mysqli::prepare() 就能阻断绝大多数 SQL 注入，前提是禁用模拟预处理、正确绑定参数、不拼接 SQL 字符串。

为什么 `PDO::prepare()` 能防注入

数据库服务端先解析 SQL 模板（只含占位符），再单独接收参数值——两者物理隔离。即使传入 "1' OR '1'='1"，它也只会被当作文本值匹配，不会改变查询逻辑。

关键点：

必须设置 $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false)，否则 PHP 会自己“模拟”预处理，在客户端做字符串替换，等于白搭
字符集要在 DSN 里声明，比如 charset=utf8mb4，避免宽字节注入绕过
错误模式建议设为 PDO::ERRMODE_EXCEPTION，便于捕获并记录异常，而不是让错误信息泄露到前端

`mysqli` 预处理的绑定细节

mysqli 的 bind_param() 要求严格按顺序、按类型传参，稍错就会报错或查不到数据。

常见类型标识：

"s"：字符串（自动加引号，无需手动转义）
"i"：有符号整数（(int) 强转后传入即可）
"d"：双精度浮点数
"b"：BLOB，需配合 mysqli_stmt_send_long_data()

错误示例：$stmt->bind_param("s", $id) —— $id 是数字但用了 "s"，虽不报错但可能查不到；正确应为 "i" 并确保 $id = (int)$_GET['id']。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

`LIKE` 查询里的通配符怎么安全处理

占位符不能写在 LIKE 字符串内部，比如 WHERE name LIKE '%?%' 是语法错误，会被当作字面量 '%?%' 查找。

正确做法是在 PHP 层拼好通配符，再整体绑定：

$keyword = $_POST['q'] ?? '';
$keyword = trim($keyword);
if ($keyword !== '') {
    $search = "%{$keyword}%"; // 注意：这里不是 SQL 拼接，只是 PHP 字符串操作
    $stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE ?");
    $stmt->execute([$search]);
}

额外提醒：如果用户输入含 % 或 _ 且你希望它们作为普通字符而非通配符，得用 ESCAPE 子句，并在 PHP 中对它们做转义，比如 str_replace(['%', '_'], ['\%', '\_'], $keyword)。

哪些地方容易漏掉预处理

最容易栽跟头的是动态字段名、排序方向、分页参数这些“非值类”内容——它们没法用占位符，只能靠白名单校验。

排序字段：$order_field = in_array($_GET['sort'], ['name', 'price', 'created_at']) ? $_GET['sort'] : 'id';
排序方向：$order_dir = strtoupper($_GET['dir'] ?? '') === 'DESC' ? 'DESC' : 'ASC';
分页 offset：$offset = max(0, (int)$_GET['page'] - 1) * 20;，然后用 ? 绑定

真正危险的是把 $_GET['table'] 或 $_GET['group_by'] 直接插进 SQL——这种没救，只能彻底重构逻辑或拒绝该请求。

最常被忽略的一点：预处理只保参数安全，不保字段名、表名、SQL 关键字。只要涉及动态结构，就得用白名单+硬编码兜底，不能指望 bind 一劳永逸。