SQL注入防护如何防止二次注入？有哪些输入清洗与输出转义建议？

SQL注入是常见的Web攻击手段之一，而“二次注入”则是其变种形式，攻击者通过将恶意数据插入数据库，再在后续操作中触发执行，造成危害。因此，除了基础的输入过滤外，还需关注存储与调用时的安全处理。
核心问题分析
开发者通常会在首次接收参数时进行防注入处理，但容易忽视从数据库取出数据后再次拼接SQL语句的风险，导致“二次注入”。该问题常见于日志记录、用户资料回显等模块。
常见原因包括：

未对入库数据进行严格校验与转义；
从数据库取出数据后直接拼接SQL语句；
使用不安全的字符串拼接方式而非预编译语句；
输出到前端或日志文件时未进行HTML/URL转义。

解决方案对比

方法	适用情况	注意事项
使用参数化查询（Prepared Statements）	所有数据库交互场景	描红提示优先使用PDO或MySQLi
对所有输入数据进行过滤和白名单限制	表单提交、API接口	如邮箱、手机号应严格格式校验
在数据输出至SQL前进行再次转义	防止二次注入攻击	可结合`addslashes()`或框架自带函数