在Web开发中，注入攻击是威胁网站安全的核心风险之一。尤其是针对PHP应用的SQL注入，一旦被利用，可能导致数据泄露、篡改甚至服务器沦陷。掌握防注入技术，是每一位开发者必须具备的基本素养。
传统做法中，使用`mysql_real_escape_string()`或`addslashes()`看似能防止注入，但它们存在局限性。这些函数依赖于字符编码和上下文环境，容易因配置不当或误用而失效。更关键的是，它们仅适用于字符串类型，无法应对数字、布尔值等其他数据类型。
现代最佳实践推荐使用预处理语句（Prepared Statements）。通过PDO或MySQLi扩展，可以将查询逻辑与数据分离。例如，使用PDO时，先定义带有占位符的SQL语句，再绑定参数，系统会自动处理数据类型和转义，从根本上杜绝注入可能。
举个例子：
`SELECT FROM users WHERE id = ?;`
这里问号作为占位符，实际传入的参数不会被当作SQL代码解析，即使输入为 `’1′ OR ‘1’=’1`，也会被当作普通值处理，不会改变查询逻辑。
除了数据库层面的防护，前端输入也需严格校验。不要完全信任用户提交的数据。对所有输入进行过滤，如限制长度、验证格式（邮箱、手机号）、使用白名单机制，拒绝未知或非法字符。
本图由AI生成，仅供参考
同时，避免在错误信息中暴露敏感细节。开启生产环境的错误抑制，使用自定义错误页面，防止攻击者通过报错信息获取数据库结构或路径。
定期进行安全审计和渗透测试同样重要。借助工具如SQLMap检测潜在漏洞，及时修复代码中的薄弱环节。安全不是一劳永逸，而是持续迭代的过程。
总结：防注入的核心在于“不信任输入”和“分离数据与指令”。采用预处理语句、合理校验、隐藏错误信息，形成多层防御体系，才能真正构建安全可靠的PHP应用。
