使用PDO和MySQLi预处理语句可有效防止SQL注入：PDO支持命名/问号占位符并自动转义；MySQLi需显式绑定参数类型；均需配合类型转换与输入过滤，并用事务保障多步操作一致性。
如果在PHP中执行数据库的增删改查操作，直接拼接SQL字符串容易导致SQL注入攻击。使用预处理语句可将SQL结构与数据分离，有效防止恶意输入被解析为代码。以下是基于PDO和MySQLi两种扩展实现安全预处理的具体方法：
一、PDO扩展预处理写法
PDO通过prepare()和execute()分离SQL模板与参数，支持命名占位符和问号占位符，自动转义并绑定变量类型。
1、创建PDO连接并设置错误模式为异常抛出：$pdo = new PDO("mysql:host=localhost;dbname=test;charset=utf8mb4", $user, $pass, [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]);
2、编写带命名占位符的INSERT语句：$sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
立即学习“PHP免费学习笔记（深入）”；
3、调用prepare()生成预处理对象：$stmt = $pdo->prepare($sql);
4、使用execute()传入关联数组绑定参数：$stmt->execute(['name' => $_POST['name'], 'email' => $_POST['email']]);
5、查询数据时使用命名占位符绑定条件：$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id"); $stmt->execute(['id' => (int)$_GET['id']]); $row = $stmt->fetch(PDO::FETCH_ASSOC);
6、执行UPDATE操作并绑定多个参数：$stmt = $pdo->prepare("UPDATE users SET name = :name, email = :email WHERE id = :id"); $stmt->execute(['name' => $newName, 'email' => $newEmail, 'id' => $id]);
7、删除记录时确保ID为整型并绑定：$stmt = $pdo->prepare("DELETE FROM users WHERE id = :id"); $stmt->execute(['id' => (int)$id]);
二、MySQLi面向对象预处理写法
MySQLi的预处理通过mysqli_stmt类实现，需显式绑定参数类型（i-整型、s-字符串、d-浮点、b-大对象），类型校验更严格。
1、初始化MySQLi连接：$mysqli = new mysqli("localhost", $user, $pass, "test"); $mysqli->set_charset("utf8mb4");
2、准备INSERT语句并获取stmt对象：$stmt = $mysqli->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
3、使用bind_param()绑定字符串参数，第一个参数指定类型串：$name = $_POST['name']; $email = $_POST['email']; $stmt->bind_param("ss", $name, $email);
4、执行插入操作：$stmt->execute();
5、查询单条记录时绑定整型ID并获取结果集：$stmt = $mysqli->prepare("SELECT id, name, email FROM users WHERE id = ?"); $stmt->bind_param("i", $id); $id = (int)$_GET['id']; $stmt->execute(); $result = $stmt->get_result(); $row = $result->fetch_assoc();
6、更新操作中混合绑定字符串与整型：$stmt = $mysqli->prepare("UPDATE users SET name = ?, email = ? WHERE id = ?"); $stmt->bind_param("ssi", $name, $email, $id); $name = $newName; $email = $newEmail; $id = (int)$id; $stmt->execute();
7、删除操作前强制转换ID为整型再绑定：$stmt = $mysqli->prepare("DELETE FROM users WHERE id = ?"); $stmt->bind_param("i", $id); $id = (int)$id; $stmt->execute();
三、参数类型校验与输入过滤补充措施
预处理语句本身不校验业务逻辑合法性，需在绑定前对用户输入做基础过滤和类型断言，避免无效数据入库或查询异常。
1、对数字类字段使用intval()或(int)强制转换：$id = (int)$_GET['id']; if ($id
2、对邮箱字段使用filter_var()验证格式：$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL); if (!filter_var($email, FILTER_VALIDATE_EMAIL)) { die("Invalid email format"); }
3、对用户名等字符串截取长度并去除首尾空格：$name = trim(substr($_POST['name'], 0, 50)); if (empty($name)) { die("Name cannot be empty"); }
4、上传文件名等敏感字段禁止直接用于SQL，应使用独立存储路径与数据库ID映射：$safe_filename = bin2hex(random_bytes(16)) . ".jpg";
5、日期字段使用DateTime类解析并格式化为Y-m-d H:i:s：$date = DateTime::createFromFormat('Y-m-d', $_POST['date']); if (!$date) { die("Invalid date"); } $iso_date = $date->format('Y-m-d H:i:s');
四、事务包裹多步操作保障一致性
当增删改查涉及多个表或需原子性执行时，必须启用事务，防止部分成功造成数据不一致。
1、PDO中开启事务并关闭自动提交：$pdo->beginTransaction();
2、依次执行多个预处理语句：$stmt1 = $pdo->prepare("INSERT INTO orders (user_id, total) VALUES (?, ?)"); $stmt1->execute([$uid, $total]); $order_id = $pdo->lastInsertId(); $stmt2 = $pdo->prepare("INSERT INTO order_items (order_id, product_id, qty) VALUES (?, ?, ?)"); $stmt2->execute([$order_id, $pid, $qty]);
3、全部成功后提交事务：$pdo->commit();
4、任一语句失败则回滚：catch (Exception $e) { $pdo->rollback(); throw $e; }
5、MySQLi中启用事务方式为：$mysqli->begin_transaction();
6、MySQLi事务提交与回滚分别调用：$mysqli->commit();
7、捕获MySQLi错误并回滚：if ($mysqli->errno) { $mysqli->rollback(); die("Transaction failed: " . $mysqli->error); }
