PHP 防止SQL注入核心用法解析（建议收藏）

前两天帮同事排查一个 bug，最后定位到问题出在防止SQL注入上。类似的坑我见过不止一次，索性把防止SQL注入相关的经验整理成这篇文章，希望对你有帮助。

第一步：认识防止SQL注入

团队协作中，防止SQL注入的用法约定要写进开发规范，避免各写各的。

防止SQL注入的错误处理要区分可恢复和不可恢复，分别采取不同策略。

第二步：用代码实现防止SQL注入

PDO 预处理防止 SQL 注入：

<?php
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8mb4', 'root', '123456', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare('SELECT * FROM user WHERE id = ?');
$stmt->execute([$id]);
$row = $stmt->fetch(PDO::FETCH_ASSOC);

第三步：完善细节

1. 大文件操作要流式处理，一次性读入内存迟早出问题。
2. 数据库操作后记得确认影响行数，0 行和预期不符时要警惕。

结语

学习防止SQL注入没有捷径，但有方法：理解原理、动手实践、总结复盘。这三步走扎实了，面试和工作都不慌。

遇见问题加 QQ23979811 协助处理