警告：本答案中描述的方法仅适用于非常特定的场景，并不安全，因为SQL注入攻击不仅仅依赖于能够注入X=Y。

如果攻击者试图通过PHP的$_GET变量或URL的查询字符串侵入表单，如果他们不安全，您将能够抓住他们。

RewriteCond %{QUERY_STRING} ([0-9]+)=([0-9]+)
RewriteRule ^(.*) ^/track.php

因为1=1、2=2、1=2、2=1、1+1=2等……是攻击者SQL数据库的常见问题。也许它也被许多黑客应用程序使用。

但您必须小心，不能从站点重写安全查询。上面的代码为您提供了一个提示，可以重写或重定向（这取决于您）将特定的动态查询字符串黑客入侵到一个页面中，该页面将存储攻击者的IP地址，甚至是他们的COOKIES、历史记录、浏览器或任何其他敏感信息，因此您可以稍后通过禁用他们的帐户或联系当局来处理他们。

安全警告：此答案不符合安全最佳实践。转义不足以防止SQL注入，请改用准备好的语句。使用以下概述的策略，风险自负。

你可以做一些基本的事情，比如：

$safe_variable = mysqli_real_escape_string($dbConnection, $_POST["user-input"]);
mysqli_query($dbConnection, "INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

这并不能解决所有问题，但它是一个很好的垫脚石。我省略了一些明显的项目，例如检查变量的存在性、格式（数字、字母等）。

安全警告：此答案不符合安全最佳实践。转义不足以防止SQL注入，请改用准备好的语句。

SQL语句中转义特殊字符的一些准则。

不要使用MySQL。此扩展已弃用。请改用MySQLi或PDO。

MySQLi

对于手动转义字符串中的特殊字符，可以使用mysqli_real_escape_string函数。除非使用mysqli_set_charset设置了正确的字符集，否则该函数将无法正常工作。

例子：

$mysqli = new mysqli('host', 'user', 'password', 'database');
$mysqli->set_charset('charset');

$string = $mysqli->real_escape_string($string);
$mysqli->query("INSERT INTO table (column) VALUES ('$string')");

要使用准备好的语句自动转义值，请使用mysqli_prepare和mysqli_stmt_bind_param，其中必须提供相应绑定变量的类型以进行适当的转换：

例子：

$stmt = $mysqli->prepare("INSERT INTO table (column1, column2) VALUES (?,?)");

$stmt->bind_param("is", $integer, $string);

$stmt->execute();

无论您使用prepared语句还是mysqli_real_escape_string，您都必须知道正在使用的输入数据的类型。

因此，如果使用准备好的语句，则必须指定mysqli_stmt_bind_param函数的变量类型。

正如名字所说，mysqli_real_escape_string的使用是为了转义字符串中的特殊字符，因此它不会使整数安全。此函数的目的是防止破坏SQL语句中的字符串，以及它可能对数据库造成的损坏。如果使用得当，mysqli_realescape_string是一个有用的函数，尤其是与sprintf结合使用时。

例子：

$string = "x' OR name LIKE '%John%";
$integer = '5 OR id != 0';

$query = sprintf( "SELECT id, email, pass, name FROM members WHERE email ='%s' AND id = %d", $mysqli->real_escape_string($string), $integer);

echo $query;
// SELECT id, email, pass, name FROM members WHERE email ='x\' OR name LIKE \'%John%' AND id = 5

$integer = '99999999999999999999';
$query = sprintf("SELECT id, email, pass, name FROM members WHERE email ='%s' AND id = %d", $mysqli->real_escape_string($string), $integer);

echo $query;
// SELECT id, email, pass, name FROM members WHERE email ='x\' OR name LIKE \'%John%' AND id = 2147483647

无论使用哪个数据库，避免SQL注入攻击的正确方法都是将数据与SQL分离，这样数据就不会被SQL解析器解释为命令。可以使用正确格式化的数据部分创建SQL语句，但如果您不完全了解详细信息，则应始终使用准备好的语句和参数化查询。这些是SQL语句，与任何参数分开发送到数据库服务器并由其解析。这样，攻击者就不可能注入恶意SQL。

你基本上有两种选择来实现这一点：

使用PDO（适用于任何受支持的数据库驱动程序）：$stmt=$pdo->prepare（'SELECT*FROM employees WHERE name=：name'）；$stmt->execute（['name'=>$name]）；foreach（$stm作为$row）{//用$row做点什么}使用MySQLi（用于MySQL）：

由于PHP 8.2+，我们可以使用execute_query（），它在一个方法中准备、绑定参数和执行SQL语句：

$result = $dbConnection->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);

while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

PHP8.1之前：

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

如果要连接到MySQL以外的数据库，则可以参考一个特定于驱动程序的第二个选项（例如，PostgreSQL的pg_prepare（）和pg_execute（））。PDO是通用选项。

---

正确设置连接

PDO

注意，当使用PDO访问MySQL数据库时，默认情况下不会使用真正准备好的语句。要解决此问题，必须禁用对已准备语句的模拟。使用PDO创建连接的示例如下：

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8mb4', 'user', 'password');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

在上面的示例中，错误模式并不是绝对必要的，但建议添加它。这样PDO将通过抛出PDOException通知您所有MySQL错误。

然而，第一行setAttribute（）是必需的，它告诉PDO禁用模拟的准备语句并使用真正的准备语句。这可以确保在将语句和值发送到MySQL服务器之前，PHP不会对其进行解析（使攻击者没有机会注入恶意SQL）。

尽管您可以在构造函数的选项中设置字符集，但需要注意的是，PHP的“旧”版本（5.3.6之前）会默默忽略DSN中的字符集参数。

Mysqli公司

对于mysqli，我们必须遵循相同的程序：

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // error reporting
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4'); // charset

---

解释

传递给准备的SQL语句由数据库服务器解析和编译。通过指定参数（在上面的示例中为？或命名参数，如：name），您可以告诉数据库引擎要过滤的位置。然后，当您调用execute时，准备好的语句将与您指定的参数值组合在一起。

这里重要的一点是，参数值与编译语句组合，而不是SQL字符串。SQL注入的工作原理是，当脚本创建要发送到数据库的SQL时，诱使脚本包含恶意字符串。因此，通过将实际的SQL与参数分开发送，可以限制出现意外情况的风险。

在使用准备好的语句时发送的任何参数都将被视为字符串（当然，数据库引擎可能会进行一些优化，因此参数也可能以数字结尾）。在上面的示例中，如果$name变量包含“Sarah”；DELETE FROM employees（从员工中删除）结果只需搜索字符串“‘Arah’；DELETE FROM employees”，您不会得到空表。

使用准备好的语句的另一个好处是，如果您在同一会话中多次执行同一语句，那么它只会被解析和编译一次，从而提高了速度。

哦，既然您询问了如何为插入操作，这里有一个示例（使用PDO）：

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute([ 'column' => $unsafeValue ]);

---

准备好的语句可以用于动态查询吗？

虽然您仍然可以为查询参数使用准备好的语句，但动态查询本身的结构不能参数化，某些查询功能也不能参数化。

对于这些特定的场景，最好使用白名单过滤器来限制可能的值。

// Value whitelist
// $dir can only be 'DESC', otherwise it will be 'ASC'
if (empty($dir) || $dir !== 'DESC') {
   $dir = 'ASC';
}

我认为如果有人想使用PHP和MySQL或其他数据库服务器：

考虑一下学习PDO（PHP数据对象）——它是一个数据库访问层，提供了访问多个数据库的统一方法。考虑学习MySQLi

---

库示例：

----个人数字助理

-----没有占位符-SQL注入时机成熟！这很糟糕

$request = $pdoConnection->("INSERT INTO parents (name, addr, city) values ($name, $addr, $city)");

-----未命名占位符

$request = $pdoConnection->("INSERT INTO parents (name, addr, city) values (?, ?, ?);

-----命名占位符

$request = $pdoConnection->("INSERT INTO parents (name, addr, city) value (:name, :addr, :city)");

---MySQLi

$request = $mysqliConnection->prepare('
       SELECT * FROM trainers
       WHERE name = ?
       AND email = ?
       AND last_login > ?');

    $query->bind_param('first_param', 'second_param', $mail, time() - 3600);
    $query->execute();

---

P.S:

PDO轻松赢得了这场战斗。支持12个不同的数据库驱动程序和命名参数，我们可以习惯它的API。从安全的角度来看，只要开发人员按照应该使用的方式使用它们，它们都是安全的

一个好主意是使用像Idiorm这样的对象关系映射器：

$user = ORM::for_table('user')
->where_equal('username', 'j4mie')
->find_one();

$user->first_name = 'Jamie';
$user->save();

$tweets = ORM::for_table('tweet')
    ->select('tweet.*')
    ->join('user', array(
        'user.id', '=', 'tweet.user_id'
    ))
    ->where_equal('user.username', 'j4mie')
    ->find_many();

foreach ($tweets as $tweet) {
    echo $tweet->text;
}

它不仅可以避免SQL注入，还可以避免语法错误！它还支持具有方法链接的模型集合，以一次过滤或将操作应用于多个结果和多个连接。