一、概览

本文已收录于PHP全栈系列专栏：PHP面试专区。
计划将全覆盖PHP开发领域所有的面试题，对标资深工程师/架构师序列，欢迎大家提前关注锁定。

SQL注入是一种针对应用程序的安全漏洞攻击，攻击者通过在Web表单输入恶意SQL语句来伪装成合法用户，进而获取服务器端数据库的数据。通常，SQL注入攻击发生在用户输入的信息中，这些输入无法被应用程序正确的过滤或转码。

今天讲解一下PHP如何来防止SQL注入的攻击。

二、SQL注入的案例

SQL注入是一种常见的网络攻击技术，通过在Web应用程序中输入恶意的SQL语句，来实现对后台数据库的非法访问和操作。以下是几个可能的SQL注入示例：

SELECT * FROM users WHERE username = ‘admin’ AND password = ‘’ OR 1=1’;
SELECT * FROM products WHERE id = -1 UNION SELECT user,password FROM users;
DELETE FROM orders WHERE id = 1; DROP TABLE customers;

三、防止SQL注入攻击

防止SQL注入的关键是将字符串进行转义，避免让攻击者构造出非法的或者不符合开发者预期的SQL语句，使用PHP防止SQL注入攻击的主要方法是使用预处理语句和绑定变量。

预处理语句

预处理语句是一种处理动态SQL语句的技术，可以使用占位符代替实际的参数，从而减少代码中的SQL注入漏洞。预处理语句通常分为两步：预处理和执行。以下是一个使用预处理语句的示例：

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

在上述代码中，$pdo是PDO对象，prepare()方法用于预处理SQL语句，并返回一个预处理语句对象，占位符“:username”和“:password”用于代替实际的参数，在执行预处理语句之前，使用bindParam()方法将占位符与变量绑定。

绑定变量

绑定变量可以保护应用程序免受SQL注入攻击。使用PDO对象的bindParam()方法可以将占位符和变量绑定在一起，从而避免了手动过滤恶意输入的必要性。

$pdo = new PDO("mysql:host=localhost;dbname=test", "username", "password");$username = $_POST['username'];
$password = $_POST['password'];$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);$stmt->execute();