PHP防止SQL注入的三大方法與兩種實現選擇

gitbox 2025-08-05

簡介

在PHP應用開發中，防止SQL注入攻擊是保障系統安全的關鍵。 SQL注入是一種通過惡意輸入執行非法SQL語句的攻擊方式。為有效避免此類風險，開發者常用的手段包括使用預編譯語句、轉義特殊字符以及應用過濾器等。

使用預編譯語句

預編譯語句是一種將SQL語句結構與參數分離的技術，能夠有效避免用戶輸入直接影響SQL執行邏輯。示例如下：

 $stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->execute([$username, $password]);

該方法通過參數綁定，自動轉義用戶輸入，保證輸入內容不會被當作SQL代碼執行，從而防止注入攻擊。

轉義特殊字符

另一種防護方式是對用戶輸入的特殊字符進行轉義，防止這些字符被誤解析為SQL語句的一部分。 PHP中可使用mysqli_real_escape_string或pdo::quote函數。示例如下：

 $safe_username = mysqli_real_escape_string($conn, $username);
$safe_password = mysqli_real_escape_string($conn, $password);
$sql = "SELECT * FROM users WHERE username = '{$safe_username}' AND password = '{$safe_password}'";
$result = mysqli_query($conn, $sql);

此方法主要適用於MySQL數據庫，通過轉義特殊字符來保證查詢語句安全。

使用過濾器

PHP的過濾器函數可以用來驗證和過濾用戶輸入，確保數據符合預期格式，減少注入風險。示例如下：

 $filtered_username = filter_var($username, FILTER_SANITIZE_STRING);
$filtered_password = filter_var($password, FILTER_SANITIZE_STRING);
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->bindParam(':username', $filtered_username);
$stmt->bindParam(':password', $filtered_password);
$stmt->execute();

使用過濾器不僅能清理輸入中的特殊字符，還可以根據不同需求選擇合適的過濾類型，提升數據安全性。

總結

防止SQL注入是PHP開發中必須重視的安全環節。通過合理使用預編譯語句、轉義特殊字符和過濾器三種方法，開發者可以有效降低注入攻擊風險。務必對用戶輸入保持警惕，採取合適的措施保障數據庫和應用的安全穩定運行。

PDO::quote