模糊查询怎么防sql注入

模糊查询本身并不能完全防止SQL注入，但它可以在一定程度上降低风险。当使用模糊查询时，可以采用以下几种策略来增强安全性：

1. 使用预编译语句或参数化查询：这是最有效的防止SQL注入的方式。无论查询内容如何变化，都将其作为参数传递给数据库，数据库会自动处理转义和安全检查。

示例（使用PHP的PDO）：

   $stmt = $pdo->prepare("SELECT * FROM users WHERE name LIKE ?");
   $stmt->execute(['%' . $_GET['name'] . '%']);

2. 对用户输入进行过滤和转义：尽管这不是最佳实践，但在某些旧系统或简单的应用中，可以对用户输入进行字符串替换或特殊字符去除，例如将单引号(`'`)转换为`\'`。

3. 限制输入长度和格式：避免接受过长的或不符合预期格式的输入，因为这些可能是SQL注入尝试的一部分。

4. 错误处理和日志记录：如果发现错误可能是来自非法输入，立即停止执行查询，并记录以便后续分析。

尽管模糊查询能缓解一些直接注入的风险，但为了彻底防护SQL注入，始终推荐使用参数化查询或ORM（对象关系映射）框架。记住，预防永远胜于修复。