PHP 防止SQL注入最佳实践

本文不打算把防止SQL注入的所有细节都讲一遍——那既不现实也没必要。我们只聚焦最常用、最容易出错的百分之二十，这部分能解决你百分之八十的问题。

问题一：防止SQL注入的学习路径是怎样的？

对防止SQL注入的执行结果加日志，出问题时能快速定位现场。

防止SQL注入涉及资源操作时，记得释放：文件要关、连接要断、内存要还。

问题二：防止SQL注入的代码长什么样？

直接上代码，PDO 预处理防止 SQL 注入：

<?php
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8mb4', 'root', '123456', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare('SELECT * FROM user WHERE id = ?');
$stmt->execute([$id]);
$row = $stmt->fetch(PDO::FETCH_ASSOC);

问题三：用防止SQL注入要注意什么？

• 功能上线后观察一段时间再撤注意力，很多问题有延迟性。
• 不要在线上环境直接调试，复制一份数据到本地慢慢查。

到这里，防止SQL注入的分享就告一段落了。愿你的代码无 bug，愿你的上线一次过。

遇见问题加 QQ23979811 协助处理