PHP 防止SQL注入进阶技巧分享（新手必看）

防止SQL注入为什么值得花时间学？

工作中接触了这么多PHP项目后发现：防止SQL注入用得对不对，直接影响代码的可维护性。本文聊聊怎么才算「用对」。

用好防止SQL注入，记住这几点

• 把防止SQL注入用到项目中之前，先用最小化示例跑通流程。
• 多看看优秀开源项目里防止SQL注入的用法，那是最好的学习材料。
• 掌握防止SQL注入之后，顺便了解它的实现原理，理解层次会完全不同。

在进入代码之前，先把防止SQL注入的思路理清楚。

眼见为实：防止SQL注入示例

直接上代码，PDO 预处理防止 SQL 注入：

<?php
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8mb4', 'root', '123456', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare('SELECT * FROM user WHERE id = ?');
$stmt->execute([$id]);
$row = $stmt->fetch(PDO::FETCH_ASSOC);

别让这些小问题坑了你

• 写完代码自己先过一遍，很多低级错误在自审时就能发现。
• 密码、密钥这类敏感信息不要硬编码在代码里，更不要提交到仓库。

最后说两句

最后强调一遍：使用防止SQL注入时，先想清楚场景，再动手实现，写完记得测试。这三板斧能解决绝大多数问题。

---

遇见问题加 QQ23979811 协助处理