mysqli::$insert_id：如何避免SQL注入時的安全問題

gitbox 2025-05-29

在PHP開發中，使用mysqli擴展操作數據庫是一種常見且高效的方法。特別是當我們執行插入操作後，通常會用到$mysqli->insert_id來獲取剛插入記錄的自增ID。然而，雖然$insert_id本身並不會引發SQL注入問題，但在整個插入數據的過程中，防範SQL注入依然至關重要。

本文將重點講解如何在使用mysqli::$insert_id時，確保插入操作的安全性，從而保障整個流程免受SQL注入攻擊。

什麼是mysqli::$insert_id？

mysqli::$insert_id是mysqli對象的一個屬性，用於返回最近一次INSERT操作產生的自增主鍵ID。例如：

 <?php
$mysqli = new mysqli("gitbox.net", "user", "password", "database");

$sql = "INSERT INTO users (username, email) VALUES ('alice', '[email protected]')";
$mysqli->query($sql);

echo "剛插入數據的ID是：" . $mysqli->insert_id;
?>

上例中， insert_id返回了插入數據的ID。

值得注意的是， insert_id是由數據庫生成的數值，且是安全的，不存在SQL注入風險。真正需要防範的是插入時傳入的用戶數據。

SQL注入風險產生的根源

SQL注入通常是因為用戶輸入直接拼接進SQL語句，導致惡意SQL代碼被執行。例如：

 <?php
$username = $_GET['username']; // 來自用戶輸入
$sql = "INSERT INTO users (username) VALUES ('$username')";
$mysqli->query($sql);
?>

如果用戶輸入alice'); DROP TABLE users;-- ，會造成數據庫表被刪除等嚴重後果。

如何防範SQL注入？

1. 使用預處理語句（Prepared Statements）

這是防止SQL注入最推薦的方式。 mysqli支持預處理語句，可以將SQL語句和數據分開傳遞。

示例：

 <?php
$mysqli = new mysqli("gitbox.net", "user", "password", "database");

// 準備預處理語句
$stmt = $mysqli->prepare("INSERT INTO users (username, email) VALUES (?, ?)");

// 綁定參數
$username = $_POST['username'];
$email = $_POST['email'];
$stmt->bind_param("ss", $username, $email);

// 執行
$stmt->execute();

echo "新插入的ID是：" . $mysqli->insert_id;

$stmt->close();
$mysqli->close();
?>

在這裡， ?是佔位符，用戶輸入不會直接拼接進SQL，數據庫引擎會將其當作普通數據處理，完全避免了SQL注入。

2. 嚴格驗證和過濾用戶輸入

儘管預處理語句可以大大降低風險，但驗證輸入格式也是良好的安全實踐。例如，限制用戶名只允許字母數字，郵箱必須符合郵箱格式。

 <?php
if (!preg_match('/^[a-zA-Z0-9_]{3,20}$/', $username)) {
    die("用戶名格式不正確");
}
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    die("郵箱格式不正確");
}
?>

3. 避免使用動態拼接SQL語句

盡量不要把用戶輸入拼接進SQL語句字符串中。如果確實需要拼接，務必使用$mysqli->real_escape_string()轉義，但這方法不如預處理語句安全。

總結

mysqli::$insert_id本身安全，不會導致SQL注入。
關鍵是插入數據時要避免SQL注入。
使用預處理語句是防範SQL注入的最佳實踐。
配合輸入驗證，進一步保障數據安全。

這樣，在使用mysqli::$insert_id獲取自增ID的同時，也能確保插入操作的安全無憂。