1. 什么是SQL注入
SQL注入是一种常见的网络攻击方式，它利用漏洞将恶意的SQL代码插入到应用程序的数据查询语句中，从而成功执行恶意操作。攻击者可以通过SQL注入绕过登录认证、获取敏感信息、篡改数据等。
SQL注入的实质是未经过滤的用户输入被直接拼接到SQL语句中，导致执行了未经合法授权的操作。
2. PHP中防止SQL注入的方法
2.1. 使用预处理语句
预处理语句是一种在查询执行之前先将SQL语句和参数分开的方法。通过将用户输入参数化，预处理语句可以有效防止SQL注入攻击。
下面是使用PDO预处理语句的示例：
$db = new PDO("mysql:host=localhost;dbname=mydb", "username", "password");
// 使用?作为占位符
$stmt = $db->prepare('SELECT * FROM users WHERE id = ?');
$id = $_GET['id']; // 假设id为用户输入
$stmt->execute(array($id));
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);
2.2. 使用参数绑定
参数绑定是将用户输入参数与SQL语句中的占位符进行绑定，可以确保用户输入不会被解释为SQL命令的一部分。
下面是使用mysqli参数绑定的示例：
$mysqli = new mysqli("localhost", "username", "password", "mydb");
// 使用?作为占位符
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ?");
$id = $_GET['id']; // 假设id为用户输入
$stmt->bind_param("i", $id); // i表示参数是整数类型
$stmt->execute();
$result = $stmt->get_result();
$rows = $result->fetch_all(MYSQLI_ASSOC);
2.3. 输入过滤和转义
在接收用户输入之前，应该对输入进行过滤和转义，确保输入的数据是安全可信的。
下面是一个使用mysqli_real_escape_string函数进行转义的示例：
$mysqli = new mysqli("localhost", "username", "password", "mydb");
$id = $_GET['id']; // 假设id为用户输入
$id = $mysqli->real_escape_string($id);
$query = "SELECT * FROM users WHERE id = '".$id."'";
$result = $mysqli->query($query);
$rows = $result->fetch_all(MYSQLI_ASSOC);
2.4. 使用准备好的语句
准备好的语句是一种在数据库服务器上预编译和存储的SQL语句。使用准备好的语句可以有效防止SQL注入攻击。
下面是使用mysqlnd驱动的示例：
$mysqli = new mysqli("localhost", "username", "password", "mydb");
$statement = $mysqli->prepare("SELECT * FROM users WHERE id = ?");
$id = $_GET['id']; // 假设id为用户输入
$statement->bind_param("i", $id);
$statement->execute();
$result = $statement->get_result();
$rows = $result->fetch_all(MYSQLI_ASSOC);
3. 其他防御措施
3.1. 最小权限原则
数据库用户应该具有尽可能少的权限，只能执行必要的操作。限制权限可以降低攻击者的影响范围。
3.2. 输入验证
对用户输入进行验证，确保输入的数据符合预期的格式和范围。可以使用正则表达式、过滤器函数等进行输入验证。
3.3. 错误处理
在生产环境中，应该关闭详细的错误报告，避免将敏感信息暴露给攻击者。可以通过设置php.ini文件中的error_reporting和display_errors参数来控制错误处理。
3.4. 日志记录
记录应用程序的操作日志，包括用户输入、数据库操作等，方便追溯和分析。
下面是一个简单的日志记录示例：
$logMessage = "User ".$_SESSION['username']." accessed page ".$_SERVER['REQUEST_URI'];
file_put_contents("logs.txt", $logMessage, FILE_APPEND);
4. 总结
防止SQL注入是开发Web应用程序时非常重要的一项工作。通过使用预处理语句、参数绑定、输入过滤和转义，以及其他防御措施，可以有效地减少SQL注入攻击的风险。
记住，安全是一个持续不断的过程，不能依靠单一的防御措施来保护系统。