警告：本答案中描述的方法仅适用于非常特定的场景，并不安全，因为SQL注入攻击不仅仅依赖于能够注入X=Y。

如果攻击者试图通过PHP的$_GET变量或URL的查询字符串侵入表单，如果他们不安全，您将能够抓住他们。

RewriteCond %{QUERY_STRING} ([0-9]+)=([0-9]+)
RewriteRule ^(.*) ^/track.php

因为1=1、2=2、1=2、2=1、1+1=2等……是攻击者SQL数据库的常见问题。也许它也被许多黑客应用程序使用。

但您必须小心，不能从站点重写安全查询。上面的代码为您提供了一个提示，可以重写或重定向（这取决于您）将特定的动态查询字符串黑客入侵到一个页面中，该页面将存储攻击者的IP地址，甚至是他们的COOKIES、历史记录、浏览器或任何其他敏感信息，因此您可以稍后通过禁用他们的帐户或联系当局来处理他们。

不推荐的警告：这个答案的示例代码（与问题的示例代码一样）使用了PHP的MySQL扩展，该扩展在PHP 5.5.0中被弃用，在PHP 7.0.0中被完全删除。安全警告：此答案不符合安全最佳实践。转义不足以防止SQL注入，请改用准备好的语句。使用以下概述的策略，风险自负。（此外，在PHP7中删除了mysql_real_ascape_string（）。）重要的防止SQL注入的最佳方法是使用Prepared语句而不是转义，正如公认的答案所示。有Aura.Sql和EasyDB这样的库可以让开发人员更容易地使用准备好的语句。若要了解更多有关为什么准备好的语句更善于停止SQL注入的信息，请参阅此mysql_real_ascape_string（）旁路以及最近修复的WordPress中的Unicode SQL注入漏洞。

注入预防-mysql_real_ascape_string（）

PHP有一个专门制作的函数来防止这些攻击。您所需要做的就是使用一个函数，mysql_real_aescape_string。

mysql_real_aescape_string获取一个将在mysql查询中使用的字符串，并返回同一个字符串，所有SQL注入尝试都安全逃脱。基本上，它会将用户可能输入的那些麻烦的引号（'）替换为MySQL安全的替代品，即转义引号“”。

注意：您必须连接到数据库才能使用此功能！

//连接到MySQL

$name_bad = "' OR 1'"; 

$name_bad = mysql_real_escape_string($name_bad);

$query_bad = "SELECT * FROM customers WHERE username = '$name_bad'";
echo "Escaped Bad Injection: <br />" . $query_bad . "<br />";


$name_evil = "'; DELETE FROM customers WHERE 1 or username = '"; 

$name_evil = mysql_real_escape_string($name_evil);

$query_evil = "SELECT * FROM customers WHERE username = '$name_evil'";
echo "Escaped Evil Injection: <br />" . $query_evil;

您可以在MySQL-SQL注入预防中找到更多详细信息。

安全警告：此答案不符合安全最佳实践。转义不足以防止SQL注入，请改用准备好的语句。使用以下概述的策略，风险自负。

你可以做一些基本的事情，比如：

$safe_variable = mysqli_real_escape_string($dbConnection, $_POST["user-input"]);
mysqli_query($dbConnection, "INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

这并不能解决所有问题，但它是一个很好的垫脚石。我省略了一些明显的项目，例如检查变量的存在性、格式（数字、字母等）。

要使用参数化查询，需要使用Mysqli或PDO。要用mysqli重写示例，我们需要以下内容。

<?php
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$mysqli = new mysqli("server", "username", "password", "database_name");

$variable = $_POST["user-input"];
$stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");
// "s" means the database expects a string
$stmt->bind_param("s", $variable);
$stmt->execute();

你想在那里读到的关键函数是mysqli:：prepare。

此外，正如其他人所建议的，您可能会发现使用PDO之类的东西来提升抽象层是有用的/更容易的。

请注意，您询问的案例相当简单，更复杂的案例可能需要更复杂的方法。特别地：

如果您希望根据用户输入更改SQL的结构，参数化查询将不会有帮助，并且mysql_real_ascape_string不包含所需的转义。在这种情况下，最好通过白名单传递用户的输入，以确保只允许通过“安全”值。

使用PDO和准备好的查询。

（$conn是PDO对象）

$stmt = $conn->prepare("INSERT INTO tbl VALUES(:id, :name)");
$stmt->bindValue(':id', $id);
$stmt->bindValue(':name', $name);
$stmt->execute();

我建议使用PDO（PHP数据对象）运行参数化SQL查询。

这不仅可以防止SQL注入，还可以加快查询速度。

而且，通过使用PDO而不是mysql_、mysqli_和pgsql_函数，可以使应用程序从数据库中抽象出一点，这是很少需要切换数据库提供程序的情况。