使用预处理语句可有效防止SQL注入，核心是分离SQL结构与数据，避免拼接用户输入。例如PDO中用?占位符绑定参数，确保输入被当作纯数据处理；同时应校验输入类型、长度，配合最小权限账户和错误信息关闭等措施，构建多层防护。
在PHP实时输出场景中，防止SQL注入是保障应用安全的关键环节。很多开发者在动态查询数据库并即时返回结果时，容易忽略输入过滤，给攻击者留下可乘之机。核心解决方法是绝不拼接用户输入到SQL语句中，而是使用参数化查询或预处理语句。
使用预处理语句（Prepared Statements）
预处理语句是防御SQL注入最有效的方式。它将SQL结构与数据分离，确保用户输入不会被当作SQL代码执行。
例如，使用PDO进行实时输出查询：$pdo = new PDO($dsn, $user, $pass);
<p>$stmt = $pdo->prepare("SELECT name, email FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);</p><p>while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
echo "姓名：{$row['name']}，邮箱：{$row['email']}<br>";
}
上述代码中，? 是占位符，用户传入的 $_GET['id'] 会被当作纯数据处理，无法改变SQL逻辑。
避免直接拼接用户输入
以下写法极其危险，应绝对禁止：
立即学习“PHP免费学习笔记（深入）”；
// 危险！不要这样做 $id = $_GET['id']; $sql = "SELECT * FROM users WHERE id = $id"; $result = mysqli_query($conn, $sql);
攻击者可通过传入 1 OR 1=1 等构造 payload，绕过条件限制，甚至执行删除、写入等操作。
对输入进行验证和过滤
即使使用预处理，也建议对输入做基础校验，提升安全性与稳定性。
- 检查ID是否为数字：
if (!is_numeric($_GET['id'])) { die('非法输入'); } - 使用filter_var过滤邮箱、URL等特定格式
- 限制输入长度，避免超长payload尝试
配合其他安全措施增强防护
除了预处理，还可结合以下方式构建多层防御：
- 使用最小权限数据库账户，避免使用root连接数据库
- 关闭错误信息显示（display_errors=Off），防止泄露表结构
- 日志记录异常查询行为，便于后期审计
基本上就这些。只要坚持用预处理语句，不拼接SQL，再辅以输入验证，就能有效杜绝SQL注入风险。实时输出本身不影响安全，关键在于如何处理用户输入。不复杂但容易忽略。
