SQL注入是PHP应用中高危安全漏洞，攻击者通过恶意输入SQL语句操纵数据库，可致数据泄露、篡改甚至服务器控制，其主因是未对用户输入严格过滤，直接拼接SQL查询（如使用mysql_query()等旧函数未转义特殊字符），防御需采用预处理语句（PDO的prepare/execute）、参数化查询，避免直接拼接SQL；同时过滤输入、验证数据合法性，并限制数据库用户权限，开发者需强化安全编码意识，从根本上防范此类攻击。
PHP中的SQL注入：原理、防御策略与实战案例
在Web应用安全领域，SQL注入（SQL Injection，简称SQLi）始终是最常见、危害性最高的漏洞之一，PHP作为全球使用最广泛的Web开发语言之一，由于其历史版本中默认的安全配置不足、开发者安全意识薄弱等问题，频繁成为SQL注入攻击的目标，本文将从SQL注入的原理出发，结合PHP代码实例，深入分析其产生机制、常见攻击场景,并重点讲解如何通过代码规范和安全实践有效防御SQL注入。
SQL注入：从原理到PHP中的产生机制
什么是SQL注入？
SQL注入的本质是通过在Web应用的输入字段（如表单、URL参数、HTTP请求头等）中插入恶意的SQL代码片段，破坏原有SQL语句的结构，从而执行攻击者预期的数据库操作，用户输入的数据被当作SQL代码执行了"。
PHP中SQL注入的产生根源
PHP语言本身并不会导致SQL注入，问题出在开发者未对用户输入进行严格过滤，而是直接将其拼接到SQL语句中，这种"字符串拼接"的方式让恶意输入有机会"篡改"SQL逻辑,从而实现攻击目的。
示例：存在漏洞的登录代码
以下是一个典型的存在SQL注入漏洞的PHP登录功能代码：
<?php
$conn = mysqli_connect("localhost", "root", "", "test_db");
$username = $_POST['username'];
$password = $_POST['password'];
// 直接拼接SQL语句（漏洞点！）
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $sql);
if (mysqli_num_rows($result) > 0) {
echo "登录成功！";
} else {
echo "用户名或密码错误！";
}
?>
当用户在用户名输入框中输入 ' OR '1'='1，密码任意输入时,最终执行的SQL语句会变成：
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '任意密码'
由于 '1'='1' 永远为真，攻击者无需知道正确的用户名和密码即可登录成功，这就是SQL注入的核心逻辑——利用SQL语法特性，让恶意条件替代原有条件。
PHP中常见的SQL注入攻击场景
登录绕过（布尔盲注）
除了上述的 ' OR '1'='1，攻击者还可以使用 ' AND 1=1--、' OR username='admin'-- 等方式绕过登录。是SQL注释符，会忽略后续的SQL代码,从而简化注入逻辑。
数据泄露（联合查询注入）
如果Web应用有"搜索"或"详情展示"功能，且直接拼接用户输入到SELECT语句中，攻击者可通过 UNION 关键字拼接恶意查询,窃取数据库中的敏感数据。
示例：搜索功能的注入漏洞
<?php
$conn = mysqli_connect("localhost", "root", "", "test_db");
$keyword = $_GET['keyword'];
$sql = "SELECT id, name FROM products WHERE name LIKE '%$keyword%'";
$result = mysqli_query($conn, $sql);
while ($row = mysqli_fetch_assoc($result)) {
echo $row['name'] . "<br>";
}
?>
攻击者在搜索框输入 ' UNION SELECT username, password FROM users--,最终SQL语句会变成：
SELECT id, name FROM products WHERE name LIKE '%' UNION SELECT username, password FROM users--%'
如果查询结果能在页面上显示,攻击者即可直接获取所有用户的用户名和密码。
文件读写（利用MySQL函数）
如果数据库服务器开启了 secure_file_priv 配置（允许文件读写），攻击者还可以通过 LOAD_FILE()（读取文件）或 INTO OUTFILE（写入文件）函数，读取服务器敏感文件（如 /etc/passwd）或写入Webshell,进而控制整个服务器。
示例：写入Webshell的注入语句
SELECT '<?php @eval($_POST["cmd"]); ?>' INTO OUTFILE 'C:/xampp/htdocs/shell.php'
若该语句被执行，攻击者即可通过POST请求 cmd 参数执行任意PHP代码。
时间盲注与报错注入
除了上述攻击方式,还有更隐蔽的注入技术：
- 时间盲注：通过
SLEEP()或BENCHMARK()函数，根据响应时间差异判断数据库信息 - 报错注入：利用
floor()、extractvalue()等函数强制数据库返回错误信息，从中提取数据
PHP中SQL注入的防御策略
防御SQL注入的核心原则是：永远不要信任用户输入，将数据与代码分离，以下是PHP中最有效的防御方法,按优先级排序：
使用预处理语句（Prepared Statements）—— 最核心的防御手段
预处理语句是数据库驱动提供的一种安全机制，它先将SQL语句的"模板"发送给数据库，再单独传递参数，数据库会明确区分"SQL代码"和"数据"，即使参数中包含恶意SQL语法，也会被当作普通字符串处理,而非代码执行。
PHP中的实现方式
（1）使用MySQLi扩展
<?php
$conn = new mysqli("localhost", "root", "", "test_db");
$conn->set_charset("utf8");
$username = $_POST['username'];
$password = $_POST['password'];
// 1. 准备SQL模板（使用?作为参数占位符）
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
if (!$stmt) {
die("预处理语句失败：" . $conn->error);
}
// 2. 绑定参数（ssi=string,string,i=integer）
$stmt->bind_param("ss", $username, $password);
// 3. 执行查询
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows > 0) {
echo "登录成功！";
} else {
echo "用户名或密码错误！";
}
$stmt->close();
$conn->close();
?>
（2）使用PDO（PHP Data Objects）扩展
PDO是更现代的数据库抽象层，支持多种数据库（MySQL、PostgreSQL、SQLite等）,语法更简洁：
<?php
try {
$pdo = new PDO("mysql:host=localhost;dbname=test_db;charset=utf8", "root", "");
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$username = $_POST['username'];
$password = $_POST['password'];
// 使用命名占位符
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();
$user = $stmt->fetch(PDO::FETCH_ASSOC);
if ($user) {
echo "登录成功！";
} else {
echo "用户名或密码错误！";
}
} catch (PDOException $e) {
die("数据库错误：" . $e->getMessage());
}
?>
输入验证与过滤
即使使用预处理语句,也应该对用户输入进行基本验证：
// 示例：验证用户名只包含字母和数字
if (!preg_match('/^[a-zA-Z0-9_]{3,20}$/', $username)) {
die("用户名格式不正确");
}
// 示例：过滤特殊字符
$username = htmlspecialchars($username, ENT_QUOTES, 'UTF-8');
使用ORM框架
现代PHP框架（如Laravel、Symfony）通常内置了ORM（对象关系映射）功能,可以自动防止SQL注入：
// Laravel Eloquent示例
$user = User::where('username', $request->input('username'))
->where('password', $request->input('password'))
->first();
``
