PHP如何避免SQL注入？这几种方法简单有效！

发布日期： 2025-10-07 阅读量： 作者： admin

今天跟大家聊聊PHP防止SQL注入的事儿，这玩意儿可是太重要了，稍微不注意，网站就可能被黑客给“扒光了”。我之前就吃过亏，所以现在特别重视。

我还是个菜鸟的时候，写代码那叫一个“奔放”，直接把用户输入拼接到SQL语句里，觉得这样写最简单。后来有个哥们儿告诉我，这样写太危险了，容易被SQL注入。当时我还不太明白，啥是SQL注入？

后来我专门去查了资料，才知道SQL注入原来是通过在输入框里输入一些特殊的SQL代码，来欺骗数据库执行一些非法的操作，比如获取管理员账号密码，甚至直接删除整个数据库。听完我背后直冒冷汗，赶紧开始研究怎么防止SQL注入。

我学的第一个方法，就是用`addslashes()`函数。这函数挺简单，就是在一些特殊字符前面加上反斜杠`\`，比如单引号`'`、双引号`"`、反斜杠`\`、NULL等。这样，这些特殊字符就不会被当成SQL语句的一部分来执行了。

php

$username = $_POST['username'];

$username = addslashes($username);

$sql = "SELECT FROM users WHERE username = '$username'";

用了`addslashes()`之后，我感觉安全多了。但是，后来我又发现，`addslashes()`也不是万能的。有些情况下，比如数据库的字符集设置不对，或者黑客用一些更高级的注入技巧，`addslashes()`还是防不住。

于是我又开始研究更靠谱的方法。这回我学了`mysql_real_escape_string()`函数（后来发现`mysql_`系列函数都过时了，不推荐用）。这个函数比`addslashes()`更智能一些，它会根据数据库的当前连接字符集来转义特殊字符，这样就更安全了。但是，`mysql_real_escape_string()`需要先连接数据库才能用，而且`mysql_`系列函数现在都不建议用了。

php

$username = $_POST['username'];

$username = mysql_real_escape_string($username);

$sql = "SELECT FROM users WHERE username = '$username'";

后来我终于找到了一个真正靠谱的方法，就是用预处理语句（Prepared Statements）。这玩意儿简直是神器，能彻底解决SQL注入的问题。预处理语句的原理是，先把SQL语句的结构固定下来，然后把用户输入的数据当成参数传进去。这样，数据库就不会把用户输入的数据当成SQL语句来执行了。

我开始用PDO（PHP Data Objects）来实现预处理语句。PDO是一个数据库抽象层，可以用一套代码连接多种不同的数据库。

php

$dsn = 'mysql:host=localhost;dbname=mydb';

$username = 'user';

$password = 'password';

try {

$pdo = new PDO($dsn, $username, $password);

} catch (PDOException $e) {

echo 'Connection failed: ' . $e->getMessage();

$username = $_POST['username'];

$stmt = $pdo->prepare("SELECT FROM users WHERE username = ?");

$stmt->execute([$username]);

$user = $stmt->fetch();

if ($user) {

// 用户存在

} else {

// 用户不存在

这段代码里，`prepare()`函数会先把SQL语句的结构固定下来，`?`是占位符，用来表示参数。然后，`execute()`函数会把用户输入的数据当成参数传进去。这样，即使黑客输入一些恶意的SQL代码，也不会被当成SQL语句来执行了。

除了PDO，我后来也学了MySQLi的预处理语句，用法差不多，也是先`prepare()`，然后`bind_param()`绑定参数，3`execute()`执行。

我写PHP代码的时候，基本上都用预处理语句了。这不仅能防止SQL注入，还能提高代码的可读性和可维护性。

防止SQL注入的方法有很多，但是最靠谱的还是预处理语句。还有一些辅助手段，比如：

对用户输入进行验证和过滤，只允许输入符合预期格式的数据。

使用最小权限原则，给数据库用户分配最小的权限，防止攻击者拿到太多的权限。

反正，安全无小事，一定要重视起来。希望我的这些经验能帮到大家。

上一篇: php 查找字符串哪个函数效率高？不同场景选择不同方法！

PHP如何避免SQL注入？这几种方法简单有效！

随便看看