使用预处理语句、参数化查询、输入验证和ORM框架可有效防止SQL注入。一、PDO和MySQLi预处理机制分离SQL逻辑与数据；二、filter_var等函数校验输入合法性；三、ORM如Eloquent减少手写SQL风险，综合防护提升应用安全。
如果您在使用PHP开发Web应用时直接拼接SQL语句，攻击者可能通过构造恶意输入来操控数据库查询，从而导致数据泄露或破坏。为有效防止此类安全风险，PHP提供了多种机制来抵御SQL注入攻击。以下是几种关键的防护实践：
一、使用预处理语句与参数化查询
预处理语句将SQL指令与用户输入的数据分离，确保用户输入不会被当作SQL代码执行。数据库先编译带有占位符的SQL模板，再填入具体数据，从根本上阻断注入路径。
1、使用PDO扩展创建预处理语句：推荐使用命名参数以提高可读性。
2、定义包含占位符的SQL语句，例如：SELECT * FROM users WHERE id = :id。
立即学习“PHP免费学习笔记（深入）”；
3、调用prepare()方法发送SQL模板到数据库进行预编译。
4、使用bindValue()或execute()方法绑定实际参数值并执行查询。
二、利用MySQLi的预处理功能
MySQLi扩展同样支持预处理语句，适用于面向对象或过程式编程风格。其机制与PDO类似，但语法略有不同，适合仅连接MySQL数据库的应用场景。
1、建立MySQLi连接后，调用prepare()方法传入含问号占位符的SQL语句。
2、检查prepare()返回值是否为false，若失败应记录错误而非继续执行。
3、使用bind_param()函数绑定变量，指定参数类型如i（整数）、s（字符串）等。
4、执行语句后通过bind_result()获取结果，并正确释放资源。
三、对输入数据进行过滤与验证
即使使用预处理语句，仍需对用户输入进行合法性校验，防止异常数据引发其他逻辑漏洞。结合白名单验证可进一步提升安全性。
1、使用filter_var()函数对邮箱、URL等标准格式数据进行验证。
2、针对特定字段设置长度、类型和字符集限制，拒绝不符合预期格式的输入。
3、避免使用 addslashes() 等过时的转义方式，因其无法可靠防御所有注入变种。
四、采用ORM框架间接防范注入
现代PHP框架常集成对象关系映射（ORM）工具，如Eloquent或Doctrine，它们默认使用参数化查询构建数据库操作，减少手写SQL的机会。
1、通过模型类方法查询数据，例如User::find($id)，无需手动编写SQL。
2、当必须执行原生查询时，确认框架文档中推荐的安全调用方式。
3、保持ORM组件及时更新，修复已知的安全缺陷。
