SQL注入增删改查函数

SQL注入是指恶意用户通过输入特殊构造的SQL代码，意图干扰应用程序的数据库操作过程。虽然没有直接的“增删改查”函数，但在处理用户输入并构建SQL查询时，需要特别注意防止注入攻击：

1. **INSERT (增加)**: 如果你需要添加新的记录，可能会像这样编写SQL（示例用PHP语法）：

   $name = $_POST['username'];
   $sql = "INSERT INTO users (username) VALUES ('$name')";
   // 使用预编译语句或参数化查询避免注入
   $stmt = $pdo->prepare("INSERT INTO users (username) VALUES (:username)");
   $stmt->execute(['username' => $name]);

2. **UPDATE (修改)**: 更新操作类似，但会涉及到条件，例如：

   $id = $_GET['id'];
   $new_username = $_POST['new_username'];
   $sql = "UPDATE users SET username='$new_username' WHERE id=$id"; // 避免直接拼接$id
   $stmt = $pdo->prepare("UPDATE users SET username=:new_username WHERE id=:id");
   $stmt->execute(['new_username' => $new_username, 'id' => $id]);

3. **DELETE (删除)**: 删除操作同样需要谨慎处理条件，避免字符串拼接：

   $id = $_GET['id'];
   $sql = "DELETE FROM users WHERE id=$id";
   $stmt = $pdo->prepare("DELETE FROM users WHERE id=:id");
   $stmt->execute(['id' => $id]);

4. **SELECT (查询)**: 查询通常不需要动态构建SQL，但如果涉及参数，应使用参数化查询：

   $username = $_GET['username'];
   $sql = "SELECT * FROM users WHERE username = :username";
   $stmt = $pdo->prepare($sql);
   $stmt->execute(['username' => $username]);