阅读量:0
在PHP中，可以使用预处理语句（prepare statement）来预防SQL注入攻击。预处理语句可以在执行SQL查询之前先准备好查询语句，然后再传递参数给查询语句，从而避免直接将用户输入的数据拼接到SQL查询中。
下面是一个简单的示例代码，演示如何在PHP中使用预处理语句预防SQL注入：
// 创建数据库连接 $servername = "localhost"; $username = "username"; $password = "password"; $dbname = "database"; $conn = new mysqli($servername, $username, $password, $dbname); // 检查连接是否成功 if ($conn->connect_error) { die("Connection failed: " . $conn->connect_error); } // 使用预处理语句来查询数据 $stmt = $conn->prepare("SELECT * FROM users WHERE username = ?"); $stmt->bind_param("s", $username); // 设置参数并执行查询 $username = $_POST['username']; $stmt->execute(); // 获取查询结果 $result = $stmt->get_result(); // 遍历结果集 while($row = $result->fetch_assoc()) { // 处理结果 } // 关闭查询和连接 $stmt->close(); $conn->close(); 在上面的示例代码中，我们使用了预处理语句来查询数据库中的用户数据。首先使用prepare方法准备查询语句，然后使用bind_param方法绑定参数，最后执行查询并获取结果。
通过使用预处理语句，我们将用户输入的数据作为参数传递给查询语句，而不是直接拼接到SQL查询中，从而有效地预防了SQL注入攻击。
