使用预处理语句、参数化查询、输入验证和 ORM 框架可有效防止 sql 注入。一、pdo和mysql i 预处理机制分离 SQL 逻辑与数据；二、filter_var 等函数校验输入合法性；三、ORM 如 Eloquent 减少手写 SQL 风险，综合防护提升应用安全。
如果您在使用 php 开发 Web 应用时直接拼接 sql 语句，攻击者可能通过构造恶意输入来操控 数据库 查询，从而导致数据泄露或破坏。为有效防止此类安全风险，PHP 提供了多种机制来抵御 sql 注入 攻击。以下是几种关键的防护实践：
一、使用预处理语句与参数化查询
预处理语句将 SQL 指令与用户输入的数据分离，确保用户输入不会被当作 SQL 代码执行。数据库先编译带有占位符的 SQL 模板，再填入具体数据，从根本上阻断注入路径。
1、使用 PDO 扩展创建预处理语句：推荐使用命名参数以提高可读性。
2、定义包含占位符的 SQL 语句，例如：select * FROM users WHERE id = :id。
立即学习“PHP 免费学习笔记（深入）”；
3、调用 prepare()方法发送 SQL 模板到数据库进行预编译。
4、使用 bindValue()或 execute()方法绑定实际参数值并执行查询。
二、利用 mysqli 的预处理功能
MySQLi 扩展同样支持预处理语句，适用于面向 对象 或过程式编程风格。其机制与 PDO 类似，但语法略有不同，适合仅连接 MySQL 数据库的应用场景。
1、建立 MySQLi 连接后，调用 prepare()方法传入含问号占位符的 SQL 语句。
2、检查 prepare()返回值是否为 false，若失败应记录错误而非继续执行。
3、使用 bind_param()函数绑定变量，指定参数类型如 i（整数）、s（字符串）等。
4、执行语句后通过 bind_result()获取结果，并正确释放资源。
三、对输入数据进行过滤与验证
即使使用预处理语句，仍需对用户输入进行合法性校验，防止异常数据引发其他逻辑漏洞。结合白名单验证可进一步提升安全性。
1、使用 filter_var()函数对 邮箱、URL 等标准格式数据进行验证。
2、针对特定字段设置长度、类型和字符集限制，拒绝不符合预期格式的输入。
3、避免使用 addslashes() 等过时的转义方式，因其无法可靠防御所有注入变种。
四、采用 ORM 框架间接防范注入
现代 php 框架 常集成对象关系映射（ORM）工具，如 Eloquent 或 Doctrine，它们默认使用参数化查询构建数据库操作，减少手写 SQL 的机会。
1、通过模型类方法查询数据，例如 User::find($id)，无需手动编写 SQL。
2、当必须执行原生查询时，确认框架文档中推荐的安全调用方式。
3、保持 ORM 组件及时更新，修复已知的安全缺陷。
