在PHP开发的实际场景中，SQL注入可是个如影随形的“大麻烦”，一不小心就会让我们的系统陷入危机。给大家讲个真实发生的案例吧，之前有个小型电商平台，他们在用户登录功能的实现上，采用了传统的SQL语句拼接方式。有个心怀不轨的攻击者，在登录的用户名输入框里填入了恶意代码：admin' OR '1'='1，密码随便填。由于代码没有对用户输入进行有效过滤，这个恶意代码直接被拼接到了SQL语句中，原本的查询语句变成了SELECT * FROM users WHERE username = 'admin' OR '1'='1' AND password = '随便填的密码'。这样一来，'1'='1'这个恒成立的条件让查询绕过了密码验证，攻击者轻松获取了管理员权限，进而对数据库进行了一系列破坏操作，导致大量用户信息泄露，订单数据被篡改，给平台带来了巨大的损失。
所以呀，在PHP开发里，防止SQL注入是保障安全的重中之重，而预处理语句和参数化查询就是我们对抗它的得力“武器”。
原理
预处理语句和参数化查询的核心原理，是把SQL语句的结构和数据分开处理。在传统的SQL语句拼接方式中，直接将用户输入的数据嵌入到SQL语句里，这就给了攻击者可乘之机，他们插入的恶意代码会成为SQL语句的一部分被执行。
而预处理语句呢，会先在数据库服务器上创建一个SQL语句模板，这个模板里的参数位置用占位符（比如?或者:参数名）来表示。然后，把用户输入的数据作为独立的参数，通过特定的方法绑定到这些占位符上。这样一来，数据库服务器在解析和执行SQL语句时，会把参数当作普通的数据值，而不是SQL代码的一部分，恶意代码也就无法被执行，从而有效防止了SQL注入。
代码示例
下面分别用PHP的PDO和MySQLi扩展来展示预处理语句和参数化查询的使用。
使用PDO扩展
假设我们正在开发一个简单的论坛系统，用户登录功能就需要用到安全的查询方式。
<?php // 数据库连接配置 $dsn ='mysql:dbname=forum_db;host=127.0.0.1';
$user = 'root';
$password = '';
try {
// 创建PDO连接 $pdo = new PDO($dsn, $user, $password);
// 设置错误模式为异常 $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 获取用户输入 $username = $_POST['username'];
$password = $_POST['password'];
// 预处理SQL语句 $sql = "SELECT * FROM users WHERE username = :username AND password = :password";
$stmt = $pdo->prepare($sql);
// 绑定参数 $stmt->bindParam(':username', $username, PDO::PARAM_STR);
$stmt->bindParam(':password', $password, PDO::PARAM_STR);
// 执行查询 $stmt->execute();
// 获取结果 $result = $stmt->fetchAll(PDO::FETCH_ASSOC);
// 输出结果 foreach ($result as $row) {
echo "用户名: ". $row['username']. ", 密码: ". $row['password']. "<br>";
}
} catch (PDOException $e) {
echo "连接或查询错误: ". $e->getMessage();
}
?>在这个论坛系统中，通过PDO扩展的预处理语句和参数化查询，即使有攻击者试图在用户名或密码输入框中输入恶意代码，也无法影响SQL语句的正常执行，从而保障了用户登录功能的安全性。
使用MySQLi扩展
再以一个小型的企业员工信息管理系统为例，员工登录时也需要安全的验证机制。
<?php // 数据库连接配置 $servername = "127.0.0.1";
$username = "root";
$password = "";
$dbname = "employee_db";
// 创建MySQLi连接 $mysqli = new mysqli($servername, $username, $password, $dbname);
// 检查连接 if ($mysqli->connect_error) {
die("连接失败: ". $mysqli->connect_error);
}
// 获取用户输入 $username = $_POST['username'];
$password = $_POST['password'];
// 预处理SQL语句 $stmt = $mysqli->prepare("SELECT * FROM employees WHERE username =? AND password =?");
// 绑定参数 $stmt->bind_param("ss", $username, $password);
// 执行查询 $stmt->execute();
// 获取结果 $result = $stmt->get_result();
// 输出结果 while ($row = $result->fetch_assoc()) {
echo "用户名: ". $row['username']. ", 密码: ". $row['password']. "<br>";
}
// 关闭连接 $stmt->close();
$mysqli->close();
?>在这个员工信息管理系统里，利用MySQLi扩展的预处理语句和参数化查询，有效防止了SQL注入风险，确保只有合法的员工能够通过正确的用户名和密码登录系统，保护了企业员工信息的安全。
标签： #PHP防注入
