php 防止sql注入

为了防止 SQL 注入攻击，PHP 提供了一些安全措施和最佳实践。下面是一些常见的方法：

1. 使用预处理语句（Prepared Statements）：预处理语句是使用占位符来代替用户输入，然后将输入参数与 SQL 查询分离。这样可以防止恶意用户通过输入特殊字符来改变 SQL 查询的结构。使用 PDO 或者 MySQLi 扩展库提供的预处理语句功能可以有效防止 SQL 注入。

示例代码（使用 PDO 扩展库）：

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->bindParam(':username', $username);
$stmt->execute();

2. 使用参数化查询：参数化查询是指在 SQL 查询中使用参数的方式，而不是直接将用户输入拼接到查询语句中。这样可以确保用户输入被正确地转义和处理，从而防止 SQL 注入。

示例代码（使用 PDO 扩展库）：

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);

3. 输入验证和过滤：对用户输入进行验证和过滤，以确保输入符合预期的格式和类型。可以使用过滤器函数（如 filter_var）或自定义验证函数来验证输入数据的合法性。同时，对于需要存储到数据库的数据，应该使用适当的转义函数（如 mysqli_real_escape_string）对特殊字符进行转义。

示例代码：

$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
$password = mysqli_real_escape_string($conn, $_POST['password']);

4. 使用安全的数据库连接：确保使用安全的数据库连接方式，如使用 PDO 或者 MySQLi 扩展库，并配置正确的连接参数。避免使用不安全的连接方式，如使用不可靠的连接库或者直接拼接用户输入的字符串作为连接参数。

需要注意的是，以上方法仅仅是防止 SQL 注入的基本措施，对于复杂的应用程序还需要综合考虑其他安全性措施，并定期更新和维护应用程序以防止新的安全漏洞。