什么是SQL注入攻击?
SQL注入攻击是指黑客通过构造恶意的SQL指令，向数据库发送注入攻击，以此来获取数据库中的数据的攻击方式，通过恶意的SQL语句对服务器进行攻击，进而窃取或者破坏数据库中的数据。
分类上可以分为三种攻击方式：
错误类型的SQL注入攻击
错误类型的SQL注入攻击，通常来说，黑客会注入一些可以产生错误信息的SQL代码，然后就能通过错误信息得到数据库中存储的敏感信息。
例如，如果我们在界面上设置了“搜索”的输入框，用户可以搜索某一个特定的内容，假如用户在这个搜索框中输入下面的内容：
1' and 1=0 union select database()#
那么这个SQL语句意思是选取数据库的名字。此时查询的结果就会显示当前数据库的名称，黑客就会获取到这个数据库的名称。
盲目类型的SQL注入攻击
盲目类型的SQL注入攻击是指黑客在没有错误信息的情况下，通过盲目的方式来探测数据库中的信息。例如，黑客会通过特定的SQL语句来试探目标数据库中的消息，修改黑客自己能访问此数据库时的权限，包括添加、删除、修改、浏览。
时间类型的SQL注入攻击
时间类型的SQL注入攻击是指黑客利用的是时间类型的漏洞。当系统是采用的数据库服务器没有高速缓存支持时，因为其需要进行保存、检索、修改、删除等操作，所以会有一个查询时间，黑客会利用这个时间差异，将数据库的数据注入到设定的值中去，从而达到获取数据库数据的目的。
如何保护PHP网站的数据库不受到SQL注入攻击？
下面我们来看看具体的方法，来防止SQL注入攻击：
1. 数据过滤和验证
数据过滤和验证是最常用的防范SQL注入攻击的方法之一，也是我们最容易想到的。通过对输入的数据进行过滤和验证，可以减少对数据库的直接操作，判断是否合法。但是，这种方法并不能对所有SQL注入攻击起到作用，因为攻击者会使用一些转义字符等方式来绕过这种过滤验证，导致仍然会发生SQL注入攻击。
2. 预编译语句
预编译语句就是将SQL代码和数据分离开来，它首先使SQL语句变成一个模板，稍后会为输入数据添加语法结构，然后再执行SQL查询。它能使用绑定操作的方式防止SQL注入，而绑定操作是允许我们将变量作为参数传递给查询，而不是将每个输入都添加到查询字符串中。这样会使得数据库无法解释那些SQL语句，也就跟预先编写的SQL查询语句成为了相似的地方。
3. 数据库权限控制
在编写SQL查询语句时，我们应该尽量限制和控制查询语句的权限，例如设置只读的权限等等，这样就可以防止敏感信息被避开检查或者是错误出现时被恶意操作，就可以通过这种方式来防止SQL注入攻击。
4. 防火墙
另一种防范SQL注入攻击的方法是使用应用程序安全的防火墙。一些Web应用程序防火墙可以监测和过滤出站SQL语句对数据请求。这种防火墙可以拦截SQL注入攻击的尝试,提前检测。
5. 使用参数化查询语句
参数化查询语句主要使用预编译语句结合绑定变量来达到防止SQL注入攻击的目的。预编译语句就是将SQL代码和数据分离开来，它首先使SQL语句变成一个模板，稍后会为输入数据添加语法结构，然后再执行SQL查询。而绑定操作是允许我们将变量作为参数传递给查询，而不是将每个输入都添加到查询字符串中。这样会使得数据库无法解释那些SQL语句，也就跟预先编写的SQL查询语句成为了相似的地方。
总结
在开发PHP网站时，保护数据库避免SQL注入攻击是非常重要的。你应该做一个好的数据过滤和验证，使用预编译语句，正确地控制查询权限以及使用防火墙等方法。我们希望这个小学习可以帮助到你，提高你的安全技术水平。