阅读量:0
为了避免 SQL 注入，您应该使用预处理语句（prepared statements）和参数化查询。在 PHP 中，可以使用 PDO (PHP Data Objects) 或 MySQLi 扩展来实现这一目标。
以下是使用 PDO 和预处理语句的示例：
<?php // 连接数据库 $dsn = 'mysql:host=localhost;dbname=mydatabase'; $username = 'myuser'; $password = 'mypassword'; $options = array( PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION, PDO::ATTR_EMULATE_PREPARES => false ); $pdo = new PDO($dsn, $username, $password, $options); // 使用预处理语句和参数化查询来避免 SQL 注入 $stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email"); $stmt->execute(['email' => $email]); $result = $stmt->fetchAll(PDO::FETCH_ASSOC); foreach ($result as $row) { // 处理结果集 } ?> 在上面的示例中，我们使用了预处理语句和参数化查询来绑定 email 参数。这样可以确保用户提供的数据不会被解释为 SQL 代码，从而避免了 SQL 注入攻击。
请注意，您需要根据自己的数据库配置修改 $dsn、$username 和 $password 变量。同时，确保已安装并启用 PDO 扩展。
