SQL 注入与参数化查询
始终使用 PDO 的预处理语句，消除注入风险。
SQL 注入与参数化查询 是 CoddyKit 上的免费 PHP Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 PHP Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 PHP Academy 课程共包含 4 节课。
什么是 SQL 注入？
SQL 注入 是指将用户提供的数据直接嵌入 SQL 查询，使攻击者能够操纵查询来访问、修改或删除数据。
经典示例
将用户输入拼接到 SQL 中：
<?php
// VULNERABLE: attacker enters username = "' OR '1'='1"
$sql = "SELECT * FROM users WHERE username = '".$_GET["username"]."'";
// Becomes: SELECT * FROM users WHERE username = '' OR '1'='1'
// Returns ALL users!数据窃取示例
攻击者使用 UNION SELECT 从其他表中泄露数据。
// Input: ' UNION SELECT username, password FROM admin_users--
// This appends a second SELECT returning admin credentials预处理语句是解决方案
使用预处理语句时，查询结构会在提供任何数据之前固定下来。数据库会将所有绑定值视为字面数据，而不会将其当作 SQL 代码。
<?php
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$_GET["username"]]);
// Safe even if username = "' OR 1=1--"命名占位符
命名占位符更加清晰，尤其是在有多个参数时。
<?php
$stmt = $pdo->prepare(
"SELECT * FROM users WHERE email = :email AND active = :active"
);
$stmt->execute([":email" => $email, ":active" => true]);Eloquent 默认安全
Laravel Eloquent 在内部对所有标准查询构建器操作使用 PDO 预处理语句。
<?php
// Safe:
User::where("email", $email)->first();
// UNSAFE: raw query with user input!
DB::select("SELECT * FROM users WHERE email = ".$email);原始查询
在 Laravel 中必须使用原始 SQL 时，请始终使用参数绑定。
<?php
// Safe raw query:
$users = DB::select("SELECT * FROM users WHERE email = ?", [$email]);
// Or with named bindings:
$users = DB::select("SELECT * FROM users WHERE email = :email", [":email" => $email]);LIKE 子句注入
LIKE 子句需要特殊处理：通配符（%、_）必须在绑定之前手动转义。
<?php
$search = str_replace(["%", "_", "\\"], ["\%", "\_", "\\\\"], $userInput);
$stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE ?");
$stmt->execute(["%$search%"]);ORDER BY 注入
列名和 ORDER BY 方向无法参数化。请根据白名单进行验证。
<?php
$allowedColumns = ["name", "price", "created_at"];
$col = in_array($request->sort, $allowedColumns) ? $request->sort : "name";
$dir = $request->dir === "desc" ? "desc" : "asc";
// Then safely build the query string存储过程
如果存储过程在内部拼接输入，同样可能存在漏洞。请始终使用参数化调用。
最小权限原则
从 PHP 连接数据库的用户只应对必要的表拥有 SELECT/INSERT/UPDATE/DELETE 权限，绝不能拥有 CREATE、DROP 或管理员权限。
摘要
始终使用带绑定参数的预处理语句。绝不要将用户输入拼接到 SQL 中。根据白名单验证 ORDER BY 和列名。使用 PDO，并禁用模拟预处理。
快速检查
防范 SQL 注入的正确方法是什么？
常见问题解答
「SQL 注入与参数化查询」课时是免费的吗？
是的 — 「SQL 注入与参数化查询」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 PHP Academy 课程的其余内容，请升级到 CoddyKit PRO。 PHP Academy 课程共包含 4 节课。
「SQL 注入与参数化查询」这节课中我会学到什么？
始终使用 PDO 的预处理语句，消除注入风险。 你通过在浏览器中直接运行的动手代码来练习 PHP Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 PHP Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 PHP Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「SQL 注入与参数化查询」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 PHP Academy 课中编写并运行代码吗？
能。每节 PHP Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 跨站脚本攻击（XSS）防护
- SQL 注入与参数化查询
- CSRF 防护
- 安全存储密码