PHP中如何安全地处理用户输入以防止SQL注入？-php教程-PHP中文网

PHP中如何安全地处理用户输入以防止SQL注入？

裘德小鎮的故事

发布： 2025-08-29 13:45:02

原创

835人浏览过

使用预处理语句和参数绑定可有效防止SQL注入，核心是将用户输入与SQL代码分离，避免直接拼接，同时推荐使用ORM框架、转义特殊字符及遵循最小权限原则。

php中如何安全地处理用户输入以防止sql注入？

处理用户输入，防止SQL注入，这事儿说起来简单，做起来得细心。核心思路就是：别信任任何用户给你的东西，然后想办法把用户输入和SQL语句彻底分开。

预处理语句（Prepared Statements）和参数绑定（Parameter Binding）是王道。

预处理语句和参数绑定

预处理语句就像是先准备好一个SQL模板，里面留着一些“坑”，等着后面再用参数来填。这样做的好处是，数据库会先编译这个SQL模板，然后才用参数填充。这样一来，用户输入的参数就被当成数据来处理，而不是SQL代码的一部分。

立即学习“PHP免费学习笔记（深入）”；

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

try {
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
    // 设置 PDO 错误模式为异常
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 预处理 SQL 并绑定参数
    $stmt = $conn->prepare("INSERT INTO users (firstname, lastname, email) VALUES (:firstname, :lastname, :email)");
    $stmt->bindParam(':firstname', $firstname);
    $stmt->bindParam(':lastname', $lastname);
    $stmt->bindParam(':email', $email);

    // 插入一行
    $firstname = "John";
    $lastname = "Doe";
    $email = "john@example.com";
    $stmt->execute();

    // 插入另一行
    $firstname = "Mary";
    $lastname = "Moe";
    $email = "mary@example.com";
    $stmt->execute();

    echo "新记录插入成功";
    }
catch(PDOException $e)
    {
    echo "连接失败: " . $e->getMessage();
    }
$conn = null;
?>

登录后复制

你看，

prepare()

登录后复制

函数先准备好SQL，

bindParam()

登录后复制

把参数和占位符绑定起来。这样做，数据库就知道哪些是SQL代码，哪些是用户数据，从而避免了SQL注入。

如何避免在PHP中常见的SQL注入漏洞？

除了预处理语句，还有一些其他的技巧可以用来避免SQL注入。

钉钉 AI 助理

钉钉AI助理汇集了钉钉AI产品能力，帮助企业迈入智能新时代。

查看详情

永远不要直接在SQL语句中拼接用户输入：这是最基本，也是最重要的原则。
使用ORM框架：ORM框架（比如Doctrine或者Eloquent）可以帮你处理SQL语句，并且通常会默认使用预处理语句。
对特殊字符进行转义：虽然预处理语句是最好的选择，但在某些情况下，你可能需要手动对特殊字符进行转义。可以使用
```
mysqli_real_escape_string()
```
登录后复制
函数来实现。注意，这个函数需要一个有效的数据库连接。
最小权限原则：数据库用户只应该拥有完成任务所需的最小权限。不要给Web应用的数据库用户过高的权限，比如删除表或者修改数据库结构。

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);

// 检测连接
if ($conn->connect_error) {
  die("连接失败: " . $conn->connect_error);
}

$firstname = $_POST['firstname'];

// 使用 mysqli_real_escape_string 转义特殊字符
$firstname = $conn->real_escape_string($firstname);

$sql = "SELECT * FROM users WHERE firstname = '" . $firstname . "'";
$result = $conn->query($sql);

if ($result->num_rows > 0) {
  // 输出数据
  while($row = $result->fetch_assoc()) {
    echo "id: " . $row["id"]. " - Name: " . $row["firstname"]. " " . $row["lastname"]. "<br>";
  }
} else {
  echo "0 结果";
}
$conn->close();
?>

登录后复制

使用ORM框架的优势和劣势是什么？

ORM框架确实能简化数据库操作，而且通常能避免SQL注入。但它也有一些缺点：