️ 在php编写代码的时候，都有哪些防止sql注入的技巧

作为一名PHP小白程序员，以下是一些防止SQL注入的技巧和代码实例：

1. 使用预处理语句（Prepared Statements）

预处理语句是防止SQL注入的最有效方法之一。它们允许数据库引擎在执行查询之前对SQL语句的结构进行解析和编译，然后将用户输入作为参数传递，而不是直接拼接到SQL语句中。

使用PDO的代码实例：

<?php
$dsn = 'mysql:host=localhost;dbname=testdb';
$username = 'dbuser';
$password = 'dbpass';
$options = array(
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
);
try {
    $pdo = new PDO($dsn, $username, $password, $options);
    $stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
    $stmt->bindParam(':username', $username);
    $stmt->bindParam(':password', $password);
    $username = $_POST['username'];
    $password = $_POST['password'];
    $stmt->execute();
    $result = $stmt->fetchAll();
    print_r($result);
} catch (PDOException $e) {
    echo 'Connection failed: ' . $e->getMessage();
}
?>

在这个例子中，:username 和 :password 是占位符，它们会在执行时被实际的用户名和密码值替换，从而避免了SQL注入的风险。

2. 使用MySQLi的预处理语句

MySQLi也支持预处理语句，可以用于防止SQL注入。

MySQLi的代码实例：

<?php
//web1: http://www.baidhub.com
//web2: http://www.watchwxfw.cn
//web3: http://www.rolexby.cn
$mysqli = new mysqli("localhost", "my_user", "my_password", "world");

/* check connection */
if ($mysqli->connect_errno) {
     echo "Failed to connect to MySQL: " . $mysqli->connect_error;
     exit();
}

$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$username = $_POST['username'];
$password = $_POST['password'];
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    echo "id: " . $row["id"] . " - Name: " . $row["username"] . " - Country: " . $row["country"] . "<br>";
}
$stmt->close();
?>

在这个例子中，? 是一个占位符，它会在执行时被实际的用户名和密码值替换，这种方法可以防止恶意用户通过注入SQL代码来破坏数据库。

3. 输入验证

确保用户输入符合预期格式和类型。例如，使用正则表达式验证邮箱格式、限制输入长度等。

输入验证的代码实例：

<?php
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "Invalid email format";
}
?>

这个例子中使用了filter_var函数和FILTER_VALIDATE_EMAIL过滤器来验证邮箱格式。

4. 转义特殊字符

如果不使用预处理语句，可以使用数据库提供的转义函数对特殊字符进行转义。

转义特殊字符的代码实例：

<?php
$username = mysqli_real_escape_string($conn, $_POST['username']);
$password = mysqli_real_escape_string($conn, $_POST['password']);
?>

在这个例子中，mysqli_real_escape_string函数用于转义特殊字符，以防止SQL注入。

通过这些技巧和代码实例，你可以有效地防止SQL注入攻击，提高你的PHP应用的安全性。