PHP如何防止SQL注入攻击？

PHP防止SQL注入攻击主要依赖于使用预处理语句和参数化查询，这样可以确保传入的参数不会被解释为SQL代码的一部分。以下是几种常用的方法来防止SQL注入：

1. 使用PDO（PHP Data Objects）预处理语句： PDO提供了一个数据访问抽象层，使得无论使用哪种数据库，都可以使用相同的方法来执行SQL语句。使用PDO的预处理语句可以有效防止SQL注入，因为它们将SQL语句与数据分开处理。

   示例代码：

   $pdo = new PDO('mysql:host=localhost;dbname=example', 'username', 'password');
   $stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
   $stmt->execute(['username' => $username]);
   $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
   

2. 使用MySQLi扩展的预处理语句： MySQLi扩展也支持预处理语句，与PDO类似，可以防止SQL注入。

   示例代码：

   $mysqli = new mysqli('localhost', 'username', 'password', 'example');
   $stmt = $mysqli->prepare('SELECT * FROM users WHERE username = ?');
   $stmt->bind_param('s', $username);
   $stmt->execute();
   $result = $stmt->get_result();
   $results = $result->fetch_all(MYSQLI_ASSOC);
   

3. 使用参数化查询： 参数化查询是另一种防止SQL注入的技术，它将SQL语句中的参数与SQL代码本身分开处理，确保参数不会被解释为SQL代码的一部分。

   示例代码（使用PDO）：

   $stmt = $pdo->prepare('INSERT INTO users (username, password) VALUES (:username, :password)');
   $stmt->execute(['username' => $username, 'password' => $password]);
   

4. 使用外部库和框架： 许多PHP框架如Laravel、Symfony等都内置了防止SQL注入的功能，例如Laravel的Eloquent ORM会自动处理参数化查询。

5. 输入验证和清理： 虽然预处理语句和参数化查询是防止SQL注入最有效的方法，但输入验证和清理也是一个重要的补充措施。确保所有的用户输入都经过验证和清理，可以进一步减少安全风险。

通过以上方法，可以有效地防止SQL注入攻击，保护数据库安全。