如何在 PHP 中防止 SQL 注入攻击？

在 PHP 中防止 SQL 注入攻击是保障数据库安全的核心任务之一。以下是结合多种技术手段和最佳实践的综合防护方案：

一、SQL 注入的原理与危害

SQL 注入是通过将恶意代码插入用户输入参数，篡改原始 SQL 查询逻辑的攻击手段。例如，攻击者可能通过输入 ' OR 1=1 -- 绕过身份验证，导致数据泄露或破坏。其危害包括数据窃取、权限提升、数据库篡改甚至服务器控制。

---

二、核心防护措施

1. 使用预处理语句（Prepared Statements）

这是最有效的防护手段，通过将 SQL 查询结构与数据参数分离，确保用户输入仅作为数据而非代码执行。

PDO（PHP Data Objects）实现：

$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->bindParam(':email', $user_input);
$stmt->execute();

优势：支持多种数据库，自动处理参数类型，防止语法注入。

MySQLi 实现：

$mysqli = new mysqli('localhost', 'user', 'pass', 'test');
$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param('s', $user_input); // 's' 表示字符串类型
$stmt->execute();

优势：适用于 MySQL 专有环境，性能优化更直接。

2：输入验证与过滤

数据类型验证：例如邮箱格式验证：

if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    die("Invalid email format");
}

• 白名单机制：限制输入范围（如性别只能为 'male' 或 'female'）。

• 清理特殊字符：

$clean_input = htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');

3. 最小化数据库权限

• 为应用分配仅具备必要操作权限的数据库账户（如禁用 DROP、GRANT 权限）。
• 避免使用 root 账户连接数据库。

4：错误处理与日志记录

关闭错误回显：生产环境中禁用 display_errors，防止泄露数据库结构：

ini_set('display_errors', 0);

记录安全日志：将错误信息定向到受保护的文件：

ini_set('log_errors', 1);
ini_set('error_log', '/path/to/secure/error.log');

三、进阶防护策略

1. 使用 Web 应用防火墙（WAF）

• 部署 WAF 拦截含有 SQL 关键词（如 UNION SELECT、DROP TABLE）的请求。
• 推荐工具：ModSecurity、Cloudflare WAF。

2. 定期更新与代码审计

• 及时更新 PHP 版本、数据库系统（如 MySQL 8.0+）及相关扩展。
• 使用工具（如 PHPStan、SonarQube）进行静态代码分析，检测潜在漏洞。

3. 存储过程与ORM框架

• 存储过程：预编译的 SQL 代码可减少动态拼接风险：

CREATE PROCEDURE GetUser(IN user_id INT)
BEGIN
    SELECT * FROM users WHERE id = user_id;
END

调用时传递参数而非直接拼接 SQL。

ORM（对象关系映射） ：如 Laravel Eloquent、Doctrine，自动生成参数化查询：

User::where('email', $email)->first();

4：转义函数的谨慎使用

mysqli_real_escape_string：仅适用于简单场景，需配合其他措施：

$escaped_input = $mysqli->real_escape_string($user_input);
$query = "SELECT * FROM users WHERE name = '$escaped_input'";

• 注意：无法防御所有注入类型（如数字型注入）。

---

四、示例攻击与防护对比

攻击场景	脆弱代码	安全代码
登录绕过	$sql = "SELECT * FROM users WHERE username='$user' AND password='$pass'"	使用 PDO 预处理语句绑定参数
数据泄露	$sql = "SELECT * FROM posts WHERE id=$id"	验证 $id 为整数：(int)$id

---

五、总结与推荐实践

1. 强制使用预处理语句：优先选择 PDO 或 MySQLi 的参数化查询。
2. 多层防御体系：结合输入验证、权限控制、日志监控。
3. 自动化工具辅助：集成 SAST（静态应用安全测试）工具与 WAF。
4. 团队培训：确保开发者理解注入原理及防护措施。

通过以上方法，可显著降低 SQL 注入风险，构建更健壮的 PHP 应用安全架构。