使用预处理语句和参数绑定可有效防止SQL注入。1、通过PDO prepare()创建预处理语句，execute()传入参数数组。2、命名参数提升可读性，支持重复使用。3、禁止拼接SQL字符串，避免将用户输入直接嵌入查询。4、验证过滤输入数据，确保类型、格式合法。5、结合数据库存储过程与预处理，增强安全性。
如果您在使用PHP进行数据库操作时，发现用户输入的数据可能导致SQL注入攻击，则需要采用安全的数据库交互方式来避免恶意SQL语句的执行。以下是防止数据库注入的有效措施和实现方法。
本文运行环境：Dell XPS 13，Windows 11
一、使用预处理语句与参数绑定
预处理语句通过将SQL指令与数据分离，有效阻止恶意输入被当作SQL代码执行。数据库服务器会预先编译SQL模板，之后传入的参数仅作为数据处理。
1、使用PDO扩展创建预处理语句，先定义含占位符的SQL语句。
立即学习“PHP免费学习笔记（深入）”；
2、调用prepare()方法生成预处理对象。
3、使用execute()方法传入参数数组，完成安全执行。
示例代码：
$pdo = new PDO($dsn, $user, $pass);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$userId]);
二、使用命名参数提升可读性
相较于位置占位符（?），命名参数使SQL语句更清晰，便于维护，并支持重复使用同一参数。
1、在SQL语句中使用以冒号开头的参数名，如 :email。
2、在execute()中传入关联数组，键名为参数名，值为实际数据。
示例代码：
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(['email' => $userEmail]);
三、避免拼接SQL字符串
直接拼接用户输入到SQL语句中是导致注入的主要原因。即使使用转义函数，也无法完全保证安全。
1、禁止将用户输入通过字符串连接方式插入SQL语句。
2、检查现有代码中是否存在类似 "SELECT * FROM table WHERE id = " . $_GET['id'] 的写法。
3、替换所有拼接逻辑为预处理语句结构。
四、对输入数据进行验证与过滤
在进入数据库操作前，应对用户输入进行类型、格式和范围校验，进一步降低风险。
1、使用filter_var()函数验证邮箱、IP等标准格式数据。
2、对数值型输入使用is_numeric()或intval()确保为合法数字。
3、设置输入长度限制，防止超长恶意负载。
五、使用存储过程配合预处理
数据库存储过程本身支持参数化调用，结合预处理可提供额外安全层。
1、在数据库中创建带有输入参数的存储过程。
2、通过PDO调用该存储过程，使用参数绑定传入用户数据。
示例代码：
$stmt = $pdo->prepare("CALL GetUserById(?)");
$stmt->execute([$id]);
