怎样在PHP原生开发中通过白名单机制防止动态SQL注入-SQL-PHP中文网

动态标识符（表名、字段名等）必须用硬编码白名单校验，禁止拼接用户输入；pdo/mysqli预处理无法参数化此类结构，仅占位符可安全绑定数据。

怎样在php原生开发中通过白名单机制防止动态sql注入

动态表名/列名必须走白名单校验

PHP原生开发中，PDO::prepare() 和 mysqli::prepare() 无法参数化表名、字段名、排序方向（ORDER BY）、分组方式（GROUP BY）等SQL结构部分。一旦拼接进查询字符串，就等于把数据库结构控制权交到用户手里。

常见错误现象：PDOStatement::execute(): SQLSTATE[HY093]: Invalid parameter number（占位符被误用在表名位置），或更危险的直接执行 SELECT * FROM {$_GET['table']} 导致任意表读取。

只允许从预设数组中选取：$allowed_tables = ['users', 'orders', 'products'];
用 in_array() 严格比对，不依赖类型宽松匹配：$table = in_array($_GET['table'], $allowed_tables, true) ? $_GET['table'] : 'users';
禁止任何转义、过滤、正则“清理”替代白名单——addslashes() 或 preg_replace() 对表名无效

排序字段和方向必须双白名单

用户通过 ?sort=created_at&order=DESC 控制 ORDER BY 时，created_at 是字段名，DESC 是关键字，二者都不可信。单独验证字段名但放行任意 order 值（如 ASC; DROP TABLE users--）仍可能触发注入（尤其在旧版 MySQL 宽字节或低版本驱动下）。

字段白名单：$allowed_sort_fields = ['id', 'username', 'created_at', 'status'];
方向白名单：$allowed_sort_orders = ['ASC', 'DESC'];
组合校验后拼接：$sql .= " ORDER BY {$field} {$direction}";，其中 $field 和 $direction 都来自白名单判断结果

IN 子句参数数量不确定时怎么安全处理

比如搜索多个ID：WHERE id IN (1,2,3)，用户传入的 $_GET['ids'] = ['1','2','3']。不能写成 "WHERE id IN (?)".str_repeat(",?", count($ids)-1) 然后 execute($ids) —— 这看似参数化，但占位符数量由用户输入决定，容易因长度超限或类型混杂出错。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

先清洗数组：$ids = array_map('intval', $_GET['ids']);，再过滤空值和零值
生成固定数量占位符：$placeholders = str_repeat('?,', count($ids) - 1) . '?';
准备语句：$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN ({$placeholders})");
执行时绑定整组：$stmt->execute($ids);