PHP 防止SQL注入案例讲解

防止SQL注入相关的资料网上一搜一大把，这篇文章有什么不同？区别在于：只讲实战中验证过的经验，不抄文档，不堆概念。

第一步：理解防止SQL注入的基本概念

涉及防止SQL注入的配置项要集中管理，不要散落在代码各个角落。

防止SQL注入的版本差异要留意，老代码里的一些写法在新版本中可能已不推荐。

第二步：实战防止SQL注入

参考下面的实现（PDO 预处理防止 SQL 注入）：

<?php
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8mb4', 'root', '123456', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare('SELECT * FROM user WHERE id = ?');
$stmt->execute([$id]);
$row = $stmt->fetch(PDO::FETCH_ASSOC);

第三步：验证与调优

• 复杂问题拆成小问题逐个验证，比一次性调一大段效率高得多。
• 遇到并发问题先怀疑共享状态，全局变量是重灾区。
• 批量操作前先小批量试跑，确认无误再全量执行。
• 日志要有关键信息但别太啰嗦，既要能排查问题又不能泄露隐私。

一点总结

感谢读到这里。防止SQL注入不是什么高深技术，但把它用对、用好，本身就是一种专业。

遇见问题加 QQ23979811 协助处理