由 dawei SQL注入是Web应用最古老也最危险的安全威胁之一，PHP项目若缺乏系统性防御，极易成为攻击跳板。真正的防护不依赖单一手段，而需构建数据输入、处理与执行三阶段的硬核协同体系。
第一层：输入端强约束与净化。所有外部输入（GET、POST、COOKIE、HTTP头）必须视为不可信源。使用filter_var()配合预设规则校验类型与格式，如邮箱用FILTER_VALIDATE_EMAIL，数字用FILTER_VALIDATE_INT；对无法严格归类的字符串，启用FILTER_SANITIZE_STRING（PHP 8已弃用，推荐自定义白名单正则替换）剔除SQL敏感字符如单引号、分号、注释符。绝不使用addslashes()或magic_quotes_gpc（已废弃）等弱效方案。
第二层：逻辑层参数化隔离。数据库操作全程禁用字符串拼接。PDO或MySQLi必须启用预处理语句（prepared statements），将SQL结构与用户数据彻底分离。例如PDO中使用bindValue()绑定变量，确保即使传入\”admin’ OR ‘1’=’1\”也无法改变查询语义。同时，表名、字段名等动态结构应通过白名单映射（如[‘user’=>’users’,’log’=>’audit_logs’]）而非直接插入，杜绝结构层面注入可能。
AI设计草图，仅供参考
第三层：执行端最小权限与监控。数据库连接账号严禁使用root或dba高权限账户，仅授予当前应用必需的CRUD权限，并限制可访问库表范围。在MySQL中启用sql_mode=’STRICT_TRANS_TABLES,NO_BACKSLASH_ESCAPES’增强语法校验；部署慢查询日志与异常错误日志联动分析，当出现“MySQL error 1064”高频报错或非预期SELECT 等模式时自动告警。生产环境禁用display_errors，防止错误信息泄露数据库结构。
三层并非孤立存在：输入过滤失效时，参数化仍能兜底；预处理未覆盖动态字段时，白名单校验构成补充；权限控制则为所有漏洞利用设置最终上限。定期用SQLMap对测试环境扫描，结合OWASP ZAP验证防护有效性，让防御真正落地而非纸上谈兵。安全不是功能开关，而是贯穿请求生命周期的工程实践。