php实现注入
PHP 防止 SQL 注入的方法
使用预处理语句（Prepared Statements）和参数化查询可以有效防止 SQL 注入。PDO（PHP Data Objects）和 MySQLi 扩展都支持预处理语句。
PDO 示例：
$pdo = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email AND status = :status');
$stmt->execute([
'email' => $email,
'status' => $status
]);
$results = $stmt->fetchAll();MySQLi 示例：
$mysqli = new mysqli('localhost', 'username', 'password', 'test');
$stmt = $mysqli->prepare('SELECT * FROM users WHERE email = ? AND status = ?');
$stmt->bind_param('ss', $email, $status);
$stmt->execute();
$result = $stmt->get_result();
$results = $result->fetch_all(MYSQLI_ASSOC);输入验证和过滤
对所有用户输入进行验证和过滤，确保数据符合预期格式。使用 filter_var() 函数进行过滤。
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
// 无效的邮箱格式
}使用安全的数据库操作
避免直接拼接 SQL 查询字符串，特别是将用户输入直接拼接到查询中。预处理语句是更安全的选择。
错误处理
不要在生产环境中显示详细的数据库错误信息，这可能会泄露敏感信息。使用自定义错误页面或日志记录错误。
ini_set('display_errors', 0);
error_reporting(0);最小权限原则
数据库用户应仅具有执行必要操作的最小权限，避免使用具有高级权限的账户连接数据库。
更新和补丁
保持 PHP 和数据库系统的更新，及时应用安全补丁，以防止已知漏洞被利用。
使用 Web 应用防火墙（WAF）
部署 WAF 可以帮助检测和阻止 SQL 注入等攻击，增加额外的安全层。
定期安全审计
定期进行代码审计和安全测试，确保没有潜在的安全漏洞。自动化工具和手动测试结合使用效果更佳。
