正如你所看到的，人们建议你最多使用准备好的陈述。这并没有错，但如果每个进程只执行一次查询，则会有轻微的性能损失。

我正面临这个问题，但我认为我以非常复杂的方式解决了它——黑客避免使用引号的方式。我将其与模拟的准备语句结合使用。我使用它来防止各种可能的SQL注入攻击。

我的方法：

如果您希望输入是整数，请确保它真的是整数。在像PHP这样的变量类型语言中，这一点非常重要。例如，您可以使用这个非常简单但功能强大的解决方案：sprintf（“SELECT 1,2,3 FROM table WHERE 4=%u”，$input）；如果你对整数十六进制有任何期望，如果你对它十六进制，你将完全逃避所有输入。在C/C++中有一个名为mysql_hex_string（）的函数，在PHP中可以使用bin2hex（）。不用担心转义字符串的大小是其原始长度的2倍，因为即使使用mysql_real_ascape_string，PHP也必须分配相同的容量（（2*input_length）+1），这是相同的。这种十六进制方法通常在传输二进制数据时使用，但我认为没有理由不对所有数据使用它来防止SQL注入攻击。请注意，您必须在数据前面加上0x，或者改用MySQL函数UNHEX。

例如，查询：

SELECT password FROM users WHERE name = 'root';

将变成：

SELECT password FROM users WHERE name = 0x726f6f74;

or

SELECT password FROM users WHERE name = UNHEX('726f6f74');

Hex是完美的逃脱。无法注射。

UNHEX函数与0x前缀之间的差异

评论中有一些讨论，所以我最后想说清楚。这两种方法非常相似，但在某些方面略有不同：

0x前缀只能用于char、varchar、text、block、binary等数据列。此外，如果要插入空字符串，则其使用有点复杂。您必须将其完全替换为“”，否则会出现错误。

UNHEX（）适用于任何列；你不必担心空字符串。

---

十六进制方法通常用作攻击

注意，这种十六进制方法通常被用作SQL注入攻击，其中整数就像字符串一样，并且只使用mysql_real_aescape_string进行转义。然后可以避免使用引号。

例如，如果你只是这样做：

"SELECT title FROM article WHERE id = " . mysql_real_escape_string($_GET["id"])

攻击很容易给你注射。考虑从脚本返回的以下注入代码：

SELECT ... WHERE id = -1 UNION ALL SELECT table_name FROM information_schema.tables;

现在只提取表结构：

SELECT ... WHERE id = -1 UNION ALL SELECT column_name FROM information_schema.column WHERE table_name = __0x61727469636c65__;

然后只需选择所需的数据。是不是很酷？

但如果可注入站点的编码器将其十六进制，则不可能进行注入，因为查询将如下所示：

SELECT ... WHERE id = UNHEX('2d312075...3635');

无论使用哪个数据库，避免SQL注入攻击的正确方法都是将数据与SQL分离，这样数据就不会被SQL解析器解释为命令。可以使用正确格式化的数据部分创建SQL语句，但如果您不完全了解详细信息，则应始终使用准备好的语句和参数化查询。这些是SQL语句，与任何参数分开发送到数据库服务器并由其解析。这样，攻击者就不可能注入恶意SQL。

你基本上有两种选择来实现这一点：

使用PDO（适用于任何受支持的数据库驱动程序）：$stmt=$pdo->prepare（'SELECT*FROM employees WHERE name=：name'）；$stmt->execute（['name'=>$name]）；foreach（$stm作为$row）{//用$row做点什么}使用MySQLi（用于MySQL）：

由于PHP 8.2+，我们可以使用execute_query（），它在一个方法中准备、绑定参数和执行SQL语句：

$result = $dbConnection->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);

while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

PHP8.1之前：

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

如果要连接到MySQL以外的数据库，则可以参考一个特定于驱动程序的第二个选项（例如，PostgreSQL的pg_prepare（）和pg_execute（））。PDO是通用选项。

---

正确设置连接

PDO

注意，当使用PDO访问MySQL数据库时，默认情况下不会使用真正准备好的语句。要解决此问题，必须禁用对已准备语句的模拟。使用PDO创建连接的示例如下：

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8mb4', 'user', 'password');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

在上面的示例中，错误模式并不是绝对必要的，但建议添加它。这样PDO将通过抛出PDOException通知您所有MySQL错误。

然而，第一行setAttribute（）是必需的，它告诉PDO禁用模拟的准备语句并使用真正的准备语句。这可以确保在将语句和值发送到MySQL服务器之前，PHP不会对其进行解析（使攻击者没有机会注入恶意SQL）。

尽管您可以在构造函数的选项中设置字符集，但需要注意的是，PHP的“旧”版本（5.3.6之前）会默默忽略DSN中的字符集参数。

Mysqli公司

对于mysqli，我们必须遵循相同的程序：

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // error reporting
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4'); // charset

---

解释

传递给准备的SQL语句由数据库服务器解析和编译。通过指定参数（在上面的示例中为？或命名参数，如：name），您可以告诉数据库引擎要过滤的位置。然后，当您调用execute时，准备好的语句将与您指定的参数值组合在一起。

这里重要的一点是，参数值与编译语句组合，而不是SQL字符串。SQL注入的工作原理是，当脚本创建要发送到数据库的SQL时，诱使脚本包含恶意字符串。因此，通过将实际的SQL与参数分开发送，可以限制出现意外情况的风险。

在使用准备好的语句时发送的任何参数都将被视为字符串（当然，数据库引擎可能会进行一些优化，因此参数也可能以数字结尾）。在上面的示例中，如果$name变量包含“Sarah”；DELETE FROM employees（从员工中删除）结果只需搜索字符串“‘Arah’；DELETE FROM employees”，您不会得到空表。

使用准备好的语句的另一个好处是，如果您在同一会话中多次执行同一语句，那么它只会被解析和编译一次，从而提高了速度。

哦，既然您询问了如何为插入操作，这里有一个示例（使用PDO）：

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute([ 'column' => $unsafeValue ]);

---

准备好的语句可以用于动态查询吗？

虽然您仍然可以为查询参数使用准备好的语句，但动态查询本身的结构不能参数化，某些查询功能也不能参数化。

对于这些特定的场景，最好使用白名单过滤器来限制可能的值。

// Value whitelist
// $dir can only be 'DESC', otherwise it will be 'ASC'
if (empty($dir) || $dir !== 'DESC') {
   $dir = 'ASC';
}

我建议使用PDO（PHP数据对象）运行参数化SQL查询。

这不仅可以防止SQL注入，还可以加快查询速度。

而且，通过使用PDO而不是mysql_、mysqli_和pgsql_函数，可以使应用程序从数据库中抽象出一点，这是很少需要切换数据库提供程序的情况。

关于许多有用的答案，我希望为这一主题增添一些价值。

SQL注入是一种可以通过用户输入（由用户填充然后在查询中使用的输入）进行的攻击。SQL注入模式是正确的查询语法，而我们可以称之为：错误的查询是由于错误的原因，我们假设可能有坏人试图获取影响安全性（机密性、完整性和可用性）三个原则的秘密信息（绕过访问控制）。

现在，我们的重点是防止安全威胁，如SQL注入攻击，问题是（如何使用PHP防止SQL注入攻击），更现实的是，数据过滤或清除输入数据是在这样的查询中使用用户输入数据时的情况，而不是使用PHP或任何其他编程语言，或者更多人建议使用现代技术，如prepared语句或当前支持SQL注入预防的任何其他工具，是否认为这些工具不再可用？如何保护您的应用程序？

我反对SQL注入的方法是：在将用户输入数据发送到数据库之前（在任何查询中使用之前）清除用户输入数据。

的数据筛选（将不安全数据转换为安全数据）

考虑PDO和MySQLi不可用。如何保护应用程序？你强迫我使用它们吗？PHP以外的其他语言呢？我更愿意提供一般性的想法，因为它可以用于更广泛的边界，而不仅仅是用于特定的语言。

SQL用户（限制用户权限）：最常见的SQL操作是（SELECT、UPDATE、INSERT），那么，为什么要将UPDATE权限授予不需要它的用户呢？例如，登录和搜索页面只使用SELECT，那么，为什么在这些页面中使用具有高权限的DB用户？

规则：不要为所有权限创建一个数据库用户。对于所有SQL操作，您可以创建类似（deluser、selectuser、updateuser）的方案作为用户名，以方便使用。

参见最低特权原则。

数据过滤：在构建任何查询用户输入之前，应该对其进行验证和过滤。对于程序员来说，为每个用户输入变量定义一些财产很重要：数据类型、数据模式和数据长度。一个介于（x和y）之间的数字字段必须使用精确的规则进行精确验证，对于一个字符串（文本）的字段：模式就是这种情况，例如，用户名只能包含一些字符，比如[A-zA-Z0-9_-.]。长度在（x和n）之间变化，其中x和n（整数，x<=n）。规则：创建精确的过滤器和验证规则是我的最佳实践。使用其他工具：在这里，我也同意您的观点，即准备好的语句（参数化查询）和存储过程。这里的缺点是这些方法需要高级技能，而大多数用户并不具备这些技能。这里的基本思想是区分SQL查询和内部使用的数据。这两种方法甚至可以用于不安全的数据，因为这里的用户输入数据不会向原始查询添加任何内容，例如（any或x=x）。

有关详细信息，请阅读OWASP SQL注入预防秘籍。

现在，如果您是高级用户，可以开始使用这种防御，但是对于初学者来说，如果他们不能快速实现存储过程并准备好语句，最好尽可能过滤输入数据。

最后，让我们考虑用户在下面发送此文本，而不是输入其用户名：

[1] UNION SELECT IF(SUBSTRING(Password,1,1)='2',BENCHMARK(100000,SHA1(1)),0) User,Password FROM mysql.user WHERE User = 'root'

可以在没有任何准备好的语句和存储过程的情况下尽早检查此输入，但为了安全起见，在用户数据过滤和验证之后开始使用它们。

最后一点是检测需要更多努力和复杂性的意外行为；它不建议用于普通的web应用程序。

上述用户输入中的意外行为是SELECT、UNION、IF、SUBSTRING、BENCHMARK、SHA和root。一旦检测到这些单词，就可以避免输入。

更新1:

一位用户评论说，这篇文章毫无用处，好吧！以下是OWASP.ORG提供的内容：

主要防御措施：选项#1：使用准备好的语句（参数化查询）选项#2：使用存储过程选项#3：转义所有用户提供的输入其他防御措施：同时强制：最低权限同时执行：白名单输入验证

正如你可能知道的，声称一篇文章应该有一个有效的论据支持，至少要有一个引用！否则，这被认为是一次攻击和一次糟糕的索赔！

更新2:

从PHP手册中，PHP：准备好的语句-手册：

转义和SQL注入绑定变量将由服务器自动转义。这个服务器将其转义值插入到语句模板。必须向绑定变量类型的服务器，以创建适当的转变有关详细信息，请参见mysqli_stmt_bind_param（）函数信息服务器中的值的自动转义有时是被认为是防止SQL注入的安全功能。相同的在以下情况下，可以使用未准备的报表实现安全程度输入值被正确转义。

更新3:

我创建了测试用例，以了解PDO和MySQLi在使用准备好的语句时如何将查询发送到MySQL服务器：

PDO:

$user = "''1''"; // Malicious keyword
$sql = 'SELECT * FROM awa_user WHERE userame =:username';
$sth = $dbh->prepare($sql, array(PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY));
$sth->execute(array(':username' => $user));

查询日志：

189查询SELECT*FROM awa_user WHERE username=“\”\“1”\“”189退出

MySQLi：

$stmt = $mysqli->prepare("SELECT * FROM awa_user WHERE username =?")) {
$stmt->bind_param("s", $user);
$user = "''1''";
$stmt->execute();

查询日志：

188准备SELECT*FROM awa_user WHERE username=？188执行SELECT*FROM awa_user WHERE用户名=“\”\“1”\“”188退出

很明显，准备好的语句也在逃避数据，而不是其他。

同样如上述陈述中所述，

服务器内值的自动转义有时被认为是防止SQL注入的安全功能。如果输入值被正确转义，则可以使用未准备的语句实现相同程度的安全性

因此，这证明了在发送任何查询之前对整数值进行数据验证（如intval（））是一个好主意。此外，在发送查询之前防止恶意用户数据是一种正确有效的方法。

请参阅这个问题以了解更多详细信息：PDO向MySQL发送原始查询，而Mysqli发送准备好的查询，两者都产生相同的结果

参考文献：

SQL注入秘籍SQL注入信息安全安全原则数据验证

要使用参数化查询，需要使用Mysqli或PDO。要用mysqli重写示例，我们需要以下内容。

<?php
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$mysqli = new mysqli("server", "username", "password", "database_name");

$variable = $_POST["user-input"];
$stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");
// "s" means the database expects a string
$stmt->bind_param("s", $variable);
$stmt->execute();

你想在那里读到的关键函数是mysqli:：prepare。

此外，正如其他人所建议的，您可能会发现使用PDO之类的东西来提升抽象层是有用的/更容易的。

请注意，您询问的案例相当简单，更复杂的案例可能需要更复杂的方法。特别地：

如果您希望根据用户输入更改SQL的结构，参数化查询将不会有帮助，并且mysql_real_ascape_string不包含所需的转义。在这种情况下，最好通过白名单传递用户的输入，以确保只允许通过“安全”值。

从安全角度来看，我倾向于存储过程（MySQL从5.0开始就支持存储过程），其优点是-

大多数数据库（包括MySQL）允许将用户访问限制为执行存储过程。细粒度安全访问控制有助于防止特权攻击升级。这防止了受损的应用程序能够直接针对数据库运行SQL。它们从应用程序中提取原始SQL查询，因此应用程序可以获得的数据库结构信息较少。这使得人们更难理解数据库的底层结构并设计合适的攻击。它们只接受参数，因此参数化查询的优势就在这里。当然，IMO仍然需要清理输入，尤其是在存储过程中使用动态SQL时。

缺点是-

它们（存储过程）很难维护，而且往往会很快繁殖。这使得管理它们成为一个问题。它们不太适合动态查询——若构建它们是为了接受动态代码作为参数，那个么许多优点就被否定了。