PHP PDO预处理语句防止SQL注入_以dedecms wordpress为例_推荐与使用
很多PHP开发者修复SQL注入漏洞时存在误区：有的只对GET参数过滤，忽略了POST和Cookie参数；有的使用addslashes简单转义，在某些字符集下可以被绕过；有的只在入口处统一过滤，程序内部拼接SQL时又引入了新的注入点。正确的修复方法是在每个SQL查询处使用参数化查询，对每个用户输入进行验证和过滤，多层防护才能确保安全。本文从原理到实操，讲解SQL注入漏洞的专业修复方法。
SQL注入漏洞的类型包括：数字型注入（参数是数字，如id=1，不需要引号闭合）、字符型注入（参数是字符串，如name=abc，需要单引号闭合）、搜索型注入（LIKE查询中的注入）、ORDER BY注入（排序参数的注入）、LIMIT注入（分页参数的注入）、二次注入（数据先存入数据库，取出时被拼接到SQL中导致注入）、盲注（页面不显示错误和数据，通过时间延迟或布尔差异判断注入结果）、宽字节注入（利用字符集编码差异绕过转义）。不同类型的注入修复方法略有不同，但核心原则都是使用参数化查询。
SQL注入漏洞的检测分为黑盒检测和白盒检测。黑盒检测是在不查看源码的情况下，通过构造特殊输入测试是否存在注入。检测方法：在URL参数后添加单引号'，如果页面报错或显示异常，可能存在注入。添加AND 1=1和AND 1=2，如果两个请求的页面内容不同，说明存在数字型注入。添加' OR '1'='1，如果返回了不应有的数据，说明存在字符型注入。使用专业扫描工具（如SQLMap、AWVS、Nessus）进行自动化扫描，这些工具能检测出各种类型的SQL注入，包括盲注。扫描时注意不要在生产环境进行大规模扫描，避免影响网站性能。
PDO预处理的使用方法：$pdo = new PDO('mysql:host=localhost;dbname=test;charset=utf8', 'user', 'pass'); $stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id'); $stmt->execute([':id' => $_GET['id']]); $result = $stmt->fetch();。注意PDO的预处理在某些情况下会被模拟（EMULATE_PREPARES=true），这时候实际上是本地转义，可能存在绕过风险。建议设置$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false)，强制使用数据库原生预处理。同时设置字符集为utf8或utf8mb4，避免宽字节注入。
PHP程序被SQL注入入侵后的应急处理。如果SQL注入漏洞已经被利用，需要进行以下处理：第一，临时关闭网站或返回维护页面，防止攻击者继续利用漏洞。第二，分析访问日志，找到攻击者的IP和注入请求，判断被利用的注入点和被窃取/篡改的数据。第三，检查数据库，确认哪些数据被窃取、哪些数据被篡改、是否有新的管理员账户被创建。第四，如果有敏感数据（如用户密码、个人信息）被窃取，需要通知相关用户并采取补救措施（如强制修改密码）。第五，修复注入漏洞，清除被植入的后门和webshell。第六，恢复被篡改的数据，从备份恢复或手动修复。第七，逐步恢复网站访问，加强监控。
开发者反馈：公司的老PHP系统被扫描出20多个SQL注入漏洞，一开始用addslashes简单转义，后来发现宽字节注入可以绕过。全部改成PDO预处理后，重新扫描没有注入漏洞了，而且代码更清晰了。参数化查询是修复SQL注入的根本方法，不要依赖转义函数。
修复提醒：修复SQL注入漏洞时，不要只修复被扫描工具检测到的注入点，要进行全面的代码审计，检查所有SQL查询。扫描工具可能有遗漏，只有全面审计才能确保没有注入点。修复后进行充分的测试，确认功能正常且漏洞已修复。
更新时间：2026-08-27 11:49:46