tp5 防止sql注入

在 ThinkPHP 5 中，可以采取以下措施来防止 SQL 注入攻击：

1. 使用查询构造器（Query Builder）：ThinkPHP 提供了查询构造器，可以使用链式操作来构建安全的 SQL 查询语句。查询构造器会自动对输入参数进行转义和处理，从而防止 SQL 注入。

示例代码：

use think\Db;

$data = Db::table('users')
    ->where('username', $username)
    ->where('password', $password)
    ->find();

2. 使用参数绑定：在使用原生 SQL 查询时，可以使用参数绑定来代替直接拼接用户输入的值到 SQL 查询语句中。参数绑定会自动对输入进行转义，从而防止 SQL 注入。

示例代码：

use think\Db;

$data = Db::query('SELECT * FROM users WHERE username = :username', ['username' => $username]);

3. 使用预处理语句（Prepared Statements）：类似于原生的 PHP，ThinkPHP 也支持使用预处理语句来防止 SQL 注入。可以使用 `execute` 方法执行预处理语句。

示例代码：

use think\Db;

$stmt = Db::connect()->prepare('SELECT * FROM users WHERE username = :username');
$stmt->bindValue(':username', $username);
$stmt->execute();
$data = $stmt->fetch();

4. 数据验证和过滤：对用户输入进行验证和过滤，确保输入数据符合预期的格式和类型。可以使用 ThinkPHP 提供的验证器功能或者手动进行验证和过滤。

示例代码（使用验证器）：

use think\facade\Validate;

$validate = Validate::rule([
    'username' => 'require',
    'password' => 'require',
]);

if (!$validate->check($data)) {
    // 验证失败
}

// 继续处理数据

需要注意的是，以上方法仅仅是防止 SQL 注入的基本措施，对于复杂的应用程序还需要综合考虑其他安全性措施，并定期更新和维护应用程序以防止新的安全漏洞。