有许多方法可以防止SQL注入和其他SQL攻击。你可以很容易地在互联网上找到它（谷歌搜索）。当然，PDO是一个很好的解决方案。但我想建议您一些防止SQL注入的良好链接。

什么是SQL注入以及如何防止

SQL注入PHP手册

Microsoft对PHP中SQL注入和预防的解释

还有一些类似于防止MySQL和PHP的SQL注入。

现在，为什么需要防止SQL注入查询？

我想告诉您：为什么我们要通过下面的一个简短示例来防止SQL注入：

查询登录身份验证匹配：

$query="select * from users where email='".$_POST['email']."' and password='".$_POST['password']."' ";

现在，如果有人（黑客）

$_POST['email']= admin@emali.com' OR '1=1

和密码。。。。

查询将被解析到系统中，直到：

$query="select * from users where email='admin@emali.com' OR '1=1';

另一部分将被丢弃。那么，会发生什么？未经授权的用户（黑客）可以以管理员身份登录，而无需密码。现在，他/她可以做管理员/电子邮件管理员可以做的任何事情。看，如果不阻止SQL注入，这是非常危险的。

安全警告：此答案不符合安全最佳实践。转义不足以防止SQL注入，请改用准备好的语句。使用以下概述的策略，风险自负。

你可以做一些基本的事情，比如：

$safe_variable = mysqli_real_escape_string($dbConnection, $_POST["user-input"]);
mysqli_query($dbConnection, "INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

这并不能解决所有问题，但它是一个很好的垫脚石。我省略了一些明显的项目，例如检查变量的存在性、格式（数字、字母等）。

不推荐的警告：这个答案的示例代码（与问题的示例代码一样）使用了PHP的MySQL扩展，该扩展在PHP 5.5.0中被弃用，在PHP 7.0.0中被完全删除。安全警告：此答案不符合安全最佳实践。转义不足以防止SQL注入，请改用准备好的语句。使用以下概述的策略，风险自负。（此外，在PHP7中删除了mysql_real_ascape_string（）。）

使用PDO和MYSQLi是防止SQL注入的好方法，但如果您真的想使用MySQL函数和查询，最好使用

mysql_real_reape_string

$unsafe_variable = mysql_real_escape_string($_POST['user_input']);

还有更多的功能可以防止这种情况：比如识别-如果输入是字符串、数字、字符或数组，那么有很多内置函数可以检测这种情况。此外，最好使用这些函数来检查输入数据。

is_string（is_string）

$unsafe_variable = (is_string($_POST['user_input']) ? $_POST['user_input'] : '');

是数字（_N）

$unsafe_variable = (is_numeric($_POST['user_input']) ? $_POST['user_input'] : '');

使用这些函数来检查mysql_real_aescape_string中的输入数据要好得多。

警告：本答案中描述的方法仅适用于非常特定的场景，并不安全，因为SQL注入攻击不仅仅依赖于能够注入X=Y。

如果攻击者试图通过PHP的$_GET变量或URL的查询字符串侵入表单，如果他们不安全，您将能够抓住他们。

RewriteCond %{QUERY_STRING} ([0-9]+)=([0-9]+)
RewriteRule ^(.*) ^/track.php

因为1=1、2=2、1=2、2=1、1+1=2等……是攻击者SQL数据库的常见问题。也许它也被许多黑客应用程序使用。

但您必须小心，不能从站点重写安全查询。上面的代码为您提供了一个提示，可以重写或重定向（这取决于您）将特定的动态查询字符串黑客入侵到一个页面中，该页面将存储攻击者的IP地址，甚至是他们的COOKIES、历史记录、浏览器或任何其他敏感信息，因此您可以稍后通过禁用他们的帐户或联系当局来处理他们。

一个简单的方法是使用像CodeIgniter或Laravel这样的PHP框架，它具有内置的过滤和活动记录等功能，因此您不必担心这些细微差别。

无论使用哪个数据库，避免SQL注入攻击的正确方法都是将数据与SQL分离，这样数据就不会被SQL解析器解释为命令。可以使用正确格式化的数据部分创建SQL语句，但如果您不完全了解详细信息，则应始终使用准备好的语句和参数化查询。这些是SQL语句，与任何参数分开发送到数据库服务器并由其解析。这样，攻击者就不可能注入恶意SQL。

你基本上有两种选择来实现这一点：

使用PDO（适用于任何受支持的数据库驱动程序）：$stmt=$pdo->prepare（'SELECT*FROM employees WHERE name=：name'）；$stmt->execute（['name'=>$name]）；foreach（$stm作为$row）{//用$row做点什么}使用MySQLi（用于MySQL）：

由于PHP 8.2+，我们可以使用execute_query（），它在一个方法中准备、绑定参数和执行SQL语句：

$result = $dbConnection->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);

while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

PHP8.1之前：

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

如果要连接到MySQL以外的数据库，则可以参考一个特定于驱动程序的第二个选项（例如，PostgreSQL的pg_prepare（）和pg_execute（））。PDO是通用选项。

---

正确设置连接

PDO

注意，当使用PDO访问MySQL数据库时，默认情况下不会使用真正准备好的语句。要解决此问题，必须禁用对已准备语句的模拟。使用PDO创建连接的示例如下：

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8mb4', 'user', 'password');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

在上面的示例中，错误模式并不是绝对必要的，但建议添加它。这样PDO将通过抛出PDOException通知您所有MySQL错误。

然而，第一行setAttribute（）是必需的，它告诉PDO禁用模拟的准备语句并使用真正的准备语句。这可以确保在将语句和值发送到MySQL服务器之前，PHP不会对其进行解析（使攻击者没有机会注入恶意SQL）。

尽管您可以在构造函数的选项中设置字符集，但需要注意的是，PHP的“旧”版本（5.3.6之前）会默默忽略DSN中的字符集参数。

Mysqli公司

对于mysqli，我们必须遵循相同的程序：

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // error reporting
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4'); // charset

---

解释

传递给准备的SQL语句由数据库服务器解析和编译。通过指定参数（在上面的示例中为？或命名参数，如：name），您可以告诉数据库引擎要过滤的位置。然后，当您调用execute时，准备好的语句将与您指定的参数值组合在一起。

这里重要的一点是，参数值与编译语句组合，而不是SQL字符串。SQL注入的工作原理是，当脚本创建要发送到数据库的SQL时，诱使脚本包含恶意字符串。因此，通过将实际的SQL与参数分开发送，可以限制出现意外情况的风险。

在使用准备好的语句时发送的任何参数都将被视为字符串（当然，数据库引擎可能会进行一些优化，因此参数也可能以数字结尾）。在上面的示例中，如果$name变量包含“Sarah”；DELETE FROM employees（从员工中删除）结果只需搜索字符串“‘Arah’；DELETE FROM employees”，您不会得到空表。

使用准备好的语句的另一个好处是，如果您在同一会话中多次执行同一语句，那么它只会被解析和编译一次，从而提高了速度。

哦，既然您询问了如何为插入操作，这里有一个示例（使用PDO）：

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute([ 'column' => $unsafeValue ]);

---

准备好的语句可以用于动态查询吗？

虽然您仍然可以为查询参数使用准备好的语句，但动态查询本身的结构不能参数化，某些查询功能也不能参数化。

对于这些特定的场景，最好使用白名单过滤器来限制可能的值。

// Value whitelist
// $dir can only be 'DESC', otherwise it will be 'ASC'
if (empty($dir) || $dir !== 'DESC') {
   $dir = 'ASC';
}