PHP 8.3用PDO防SQL注入怎么写才靠谱？-php教程-PHP中文网

php 8.3 下 pdo 防 sql 注入最可靠方式是启用真实预处理：连接时设 pdo::attr_emulate_prepares => false、charset=utf8mb4，并用 prepare+execute（或 bindparam/bindvalue）传参；禁用拼接、模拟预处理及动态字段。

php 8.3用pdo防sql注入怎么写才靠谱？

PHP 8.3 下用 PDO 防 SQL 注入，靠谱的核心就一条：**必须用 prepare + execute（或 bindParam/bindValue）的完整预处理流程，且禁用模拟预处理**。其他任何“加个 quote”“手动拼字符串”“只用 query”都是无效防护。

必须启用真实预处理（禁用模拟）

PDO 默认在 MySQL 驱动下可能启用客户端模拟预处理（emulate prepares），这会让某些边界情况绕过防护。PHP 8.3 中应显式关闭：

连接时设置 PDO::ATTR_EMULATE_PREPARES => false
同时指定严格字符集，如 charset=utf8mb4，防宽字节注入
开启异常模式，便于及时捕获错误而非静默失败

示例连接代码：

php
$dsn = "mysql:host=localhost;dbname=test;charset=utf8mb4";
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_EMULATE_PREPARES => false,
];
$pdo = new PDO($dsn, $user, $pass, $options);
?>

占位符写法要规范，绝不拼接变量

命名占位符（:name）比问号更安全、可读性更强，尤其适合多参数场景：

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

SQL 模板中只写占位符，不拼接任何用户数据，包括表名、字段名、ORDER BY 子句
执行时统一用 execute([':name' => $value]) 传参，类型由 PDO 自动推断
如需强制类型（如整数 ID），可用 bindValue(':id', $id, PDO::PARAM_INT)

错误示范（哪怕用了 PDO 也危险）：

$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];
$pdo->query($sql); // ❌ 直接拼接，完全失效

特殊场景要单独处理

LIKE 查询、动态排序、IN 列表等不能直接用占位符，必须额外把关：

LIKE：通配符 % 或 _ 必须在 PHP 层加，再整体绑定，如 $keyword = "%{$_POST['q']}%"; $stmt->execute([$keyword]);
ORDER BY / LIMIT：列名和方向只能从白名单中选取，例如：$sort = in_array($_GET['sort'], ['name', 'created_at']) ? $_GET['sort'] : 'name';，再硬编码进 SQL
IN 列表：无法单个占位符对应多个值，需动态生成对应数量的 ?，再绑定数组