SQL注入是一种常见的网络安全漏洞，对于使用PHP进行开发的项目来说，如果不加以防范，可能会导致数据库中的数据泄露、篡改甚至被破坏等严重后果。今天我就来分享一下在PHP中防止SQL注入的代码以及相关的思考。
一、理解SQL注入
首先我们得搞清楚SQL注入到底是怎么回事。简单来说，SQL注入就是攻击者通过在用户输入（比如表单输入、URL参数等）中注入恶意的SQL语句，从而欺骗数据库执行一些不应该执行的操作。举个例子，如果我们有一个登录页面，用户输入用户名和密码，然后我们直接把这些输入拼接到SQL查询语句中，像这样：
$sql = "SELECT FROM users WHERE username = '". $_POST['username']. "' AND password = '". $_POST['password']. "'";
如果恶意用户在用户名输入框中输入类似"' OR 1 = 1 --"这样的内容，那么生成的SQL语句就变成了：
SELECT FROM users WHERE username = '' OR 1 = 1 -- AND password = '...'
这样一来，就可以绕过密码验证直接登录了，因为"1 = 1"这个条件总是为真，而"--"在SQL中是注释符号，后面的密码验证部分就被忽略了。这就是SQL注入的一种常见情形。
二、PHP防止SQL注入的基本方法 - 过滤与转义
1. 使用addslashes()函数
这个函数会在特殊字符（如单引号、双引号、反斜杠和NULL）前加上反斜杠，这是一种简单的防止SQL注入的方法。例如：
$username = addslashes($_POST['username']);
$password = addslashes($_POST['password']);
$sql = "SELECT FROM users WHERE username = '". $username. "' AND password = '". $password. "'";
但是这种方法有一定的局限性，比如在数据库的字符集设置不同的情况下，可能效果不佳，而且它并不能完全防止所有的SQL注入攻击。如果攻击者使用编码来绕过这个函数，仍然可能进行注入。例如，攻击者可以使用UTF - 16编码来绕开addslashes函数对单引号的转义。比如将单引号编码为'，这种编码后的内容在经过addslashes函数处理后不会被正确转义，从而可能被用于SQL注入。
2. 使用mysql_real_escape_string()（适用于MySQL数据库，对于其他数据库有类似函数）
这个函数比addslashes更强大一些。它会考虑到数据库的字符集设置，对特殊字符进行正确的转义。在使用之前，我们需要先连接数据库，因为它需要从数据库连接获取字符集信息。示例如下：
$conn = mysqli_connect("localhost", "username", "password", "database");
$username = mysqli_real_escape_string($conn, $_POST['username']);
$password = mysqli_real_escape_string($conn, $_POST['password']);
这里要注意几点：
确保在调用mysql_real_escape_string函数之前数据库连接已经成功建立。如果数据库连接失败，这个函数可能无法正确工作，导致仍然存在SQL注入的风险。
对于不同的数据库系统，如PostgreSQL、Oracle等，都有各自对应的转义函数，不能直接使用mysql_real_escape_string。例如，在PostgreSQL中可以使用pg_escape_string函数。
三、使用预处理语句（推荐方法）
预处理语句是一种更安全有效的防止SQL注入的方法。我们以MySQLi扩展为例。
1. 使用mysqli预处理语句进行查询
假设我们有一个根据用户ID查询用户信息的功能：
if ($conn->connect_error) {
die("连接数据库失败: ". $conn->connect_error);
}
// 创建预处理语句
$stmt = $conn->prepare("SELECT FROM users WHERE id =?");
// 绑定参数，这里使用整数类型（根据实际情况，也可以是字符串类型等其他类型）
$user_id = (int) $_GET['id'];
$stmt->bind_param("i", $user_id);
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
// 处理查询到的结果
// 这里可以进行如显示用户信息等操作
echo "用户名: ". $row['username']. ", 电子邮件: ". $row['email']. "
";
}
$stmt->close();
$conn->close();
在这个例子中，我们通过占位符（?）来表示参数，然后使用bind_param函数来绑定实际的参数。这样做的好处是，不管用户输入什么内容，都不会被当作SQL语句的一部分直接执行，而是被当作普通的参数值。这样就有效地防止了SQL注入。
2. 预处理语句中的常见错误及解决办法
类型不匹配
当我们使用bind_param函数绑定参数时，必须要指定正确的参数类型。如果类型不匹配，可能会导致查询失败。例如，如果我们把一个字符串当成整数类型绑定到应该是整数的参数占位符上。比如：
$stmt = $conn->prepare("SELECT FROM items WHERE quantity =?");
$quantity = "not a number";
$stmt->bind_param("i", $quantity); // 这里类型不匹配，quantity应该是整数，却绑定了一个字符串
解决办法就是确保绑定的参数类型和在prepare语句中定义的类型一致。正确的做法可能是先对输入进行验证，如果是获取用户输入的数量，应该确保是数字类型，可以使用例如is_numeric函数来检查，如果不是数字就进行合理的提示或者转换为合适的值。
忘记绑定参数
有时候我们可能会忘记给预处理语句绑定参数，这会导致查询结果不准确或者出现错误。比如：
$stmt = $conn->prepare("SELECT FROM users WHERE username =?");
// 忘记绑定$username参数
$stmt->execute();
这种情况下，我们需要仔细检查代码，确保每个占位符都有对应的参数被绑定。
四、输入验证
除了对输入进行转义和使用预处理语句外，输入验证也是防止SQL注入的重要环节。
1. 简单的输入验证示例
假设我们有一个表单，用户需要输入姓名，我们希望限制用户只能输入字母和空格。我们可以使用正则表达式来进行验证：
$name = $_POST['name'];
if (!preg_match("/^[a - zA - Z ]+$/", $name)) {
echo "姓名只能包含字母和空格，请重新输入";
} else {
// 如果验证通过，可以继续将这个经过验证的值用于数据库操作，比如插入数据库
}
2. 全面的输入验证思考
在实际的项目中，对于不同的输入类型，我们要进行不同的验证。对于整数输入，要验证它是否是真正的整数；对于日期输入，要验证日期格式是否正确；对于电子邮件地址输入，要验证是否符合电子邮件地址的格式规范等等。而且不能仅仅依赖于客户端的验证（如JavaScript中的验证），因为客户端的验证可以很容易被绕过。必须在服务器端进行严格的验证，因为服务器端的代码才是最终保护数据安全的关卡。
在我的一个项目中，是一个在线商城系统。我们需要用户注册登录、添加商品到购物车、下订单等操作，这些操作都会涉及到数据库的交互，比如在注册时要将用户的信息插入到数据库，在查询商品时要从数据库获取商品信息。如果不防止SQL注入，攻击者可能会通过SQL注入攻击篡改商品价格、获取用户的隐私信息等。
在注册模块中，我们对用户输入的用户名、密码、电子邮件地址等都进行了严格的输入验证。对于用户名，我们要求只允许字母、数字和下划线，采用正则表达式验证：
$username = $_POST['username'];
if (!preg_match("/^[a - zA - Z0 - 9_]+$/", $username)) {
echo "用户名只能包含字母、数字和下划线，请重新输入";
}
在密码的处理上，除了验证其长度和是否包含必要的字符外，我们还使用了密码哈希技术（如password_hash函数），这样即使数据库被攻破，攻击者也不能直接获取用户的原始密码。我们将密码的验证和防止SQL注入结合起来，在登录验证时，首先使用预处理语句从数据库查询密码哈希值，然后使用password_verify函数来验证用户输入的密码和数据库中的哈希值是否匹配：
}
$stmt = $conn->prepare("SELECT password FROM users WHERE username =?");
$stmt->bind_param("s", $username);
if ($row = $result->fetch_assoc()) {