怎样在PHP翻页函数中使用PDO预处理语句防注入-php教程-PHP中文网

翻页参数不能直接拼进sql的limit子句，因为limit后的数字是语法组成部分而非数据值，预处理语句不保护sql结构；正确做法是用intval()转整型、白名单校验范围与排序字段，并拼接已验证的整数和字符串。

怎样在php翻页函数中使用pdo预处理语句防注入

翻页参数为什么不能直接拼进SQL的LIMIT子句

因为 LIMIT 后面的数字是语法组成部分，不是“值”，预处理语句只保护占位符位置上的数据值，不保护SQL结构本身。你写 $stmt = $pdo->prepare("SELECT * FROM posts LIMIT ?")，然后 execute([$_GET['limit']])，PHP会报错或行为异常——MySQL不允许在 LIMIT 里用问号占位符（除非用整数绑定且驱动支持，但不可靠）。

正确做法：用intval()强制转整型 + 白名单校验范围

翻页常用的 OFFSET 和 LIMIT 必须由PHP层做类型和范围控制，再拼入SQL字符串。这不是妥协，而是必须：

$_GET['page'] 和 $_GET['per_page'] 都要用 intval() 转成整数，丢弃任何非数字字符
设置合理上限，比如 max_per_page = 100，避免恶意请求拖垮数据库
计算 $offset = max(0, ($page - 1) * $per_page)，防止负数或超大偏移
最终拼SQL时只拼整数："SELECT * FROM posts ORDER BY id DESC LIMIT {$limit} OFFSET {$offset}"

ORDER BY字段名必须白名单校验，不能用占位符

用户可能通过URL传 sort=name&order=ASC 控制排序，但 ORDER BY ? 是非法语法，ORDER BY :field 也会被当成字符串字面量而非列名。所以：

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

定义允许的字段白名单：$allowed_sorts = ['id', 'title', 'created_at']
用 in_array($_GET['sort'], $allowed_sorts, true) 校验，不匹配就 fallback 到默认字段
排序方向也需白名单：$_GET['order'] === 'DESC' ? 'DESC' : 'ASC'，不能直接拼 $_GET['order']
拼接时用 "ORDER BY {$safe_sort} {$safe_order}"，确保整个片段来自可信来源

完整翻页查询示例（含安全边界）

下面是一个实际可用的PDO翻页片段，重点看变量如何从用户输入→校验→拼接：

$page = intval($_GET['page'] ?? 1);
$per_page = intval($_GET['per_page'] ?? 20);
$per_page = min($per_page, 100); // 强制上限
$page = max($page, 1);
<p>$offset = ($page - 1) * $per_page;</p><p>// 白名单校验排序字段和方向
$allowed_sorts = ['id', 'title', 'created_at'];
$sort = in_array($_GET['sort'] ?? 'id', $allowed_sorts, true) ? $_GET['sort'] : 'id';
$order = ($_GET['order'] ?? 'DESC') === 'ASC' ? 'ASC' : 'DESC';</p><p>// 拼接SQL（注意：这里拼的是已校验的整数和白名单字符串）
$sql = "SELECT id, title, content FROM posts WHERE status = ? ORDER BY {$sort} {$order} LIMIT {$per_page} OFFSET {$offset}";
$stmt = $pdo->prepare($sql);
$stmt->execute([1]); // status = 1 是安全的固定值，走占位符
$posts = $stmt->fetchAll();
</p>

真正容易被忽略的点是：LIMIT 和 ORDER BY 这类结构化参数，既不能靠预处理保护，也不能靠过滤函数兜底，唯一可靠方式是“收口+校验+限制”，而不是试图让占位符覆盖一切。