我要招人

SQL面试题更新 2026-08-03

请说明在 PHP 开发中，可以采用哪些方法来有效防御 SQL 注入攻击？

考察说明

考查候选人对于 PHP 中 SQL 注入防护手段的掌握程度，以及是否了解安全编码的实践。

回答思路

  1. 【回答框架 1】SQL 注入是攻击者将恶意 SQL 代码插入到查询语句中，从而操控数据库的漏洞。在 PHP 中，最有效的防护是使用预处理语句（Prepared Statements）和参数化查询。例如使用 PDO 或 MySQLi，通过占位符将数据与 SQL 语句分离，数据库引擎会将参数作为数据处理，而非可执行的代码。
  2. 【回答框架 2】具体实现：以 PDO 为例，使用 prepare 方法准备 SQL 语句，再用 bindParam 或 execute 传入参数，确保用户输入不会被直接拼接到 SQL 中。对于 MySQLi，可以使用 prepare、bind_param 和 execute。这一方法能覆盖绝大多数注入场景。
  3. 【回答框架 3】对于无法使用预处理语句的情况（如动态表名或列名），需要严格白名单校验，确保输入值符合预期格式，比如限制只允许字母数字和下划线。同时，对输出进行转义，但需注意转义函数（如 mysqli_real_escape_string）依赖于正确的字符集设置，不是首选。
  4. 【回答框架 4】其他防御措施包括：最小化数据库用户权限，避免使用高权限账号连接；对输入进行过滤和验证，如使用 filter_var 或正则表达式；以及避免在数据库错误信息中泄露敏感细节。
  5. 【回答框架 5】此外，使用 ORM（对象关系映射）如 Laravel 的 Eloquent 或 Doctrine，它们默认使用参数绑定，可以在不牺牲安全性的情况下简化数据库操作。但需注意，仍不能完全依赖框架，需了解底层机制。
  6. 【关键点 1】预处理语句和参数化查询是 PHP 防 SQL 注入的首选方案。
  7. 【关键点 2】PDO 和 MySQLi 均支持预处理，且比字符串转义更可靠。
  8. 【关键点 3】动态标识符需白名单校验，避免直接拼接。
  9. 【关键点 4】最小权限原则和输入验证能降低风险。
  10. 【关键点 5】ORM 通常内置参数绑定，但需正确使用。
  11. 【易错点 1】不要仅依赖 mysqli_real_escape_string，它可能因字符集设置不当而失效。
  12. 【易错点 2】避免将用户输入直接拼接进 SQL，即使是经过过滤的。
  13. 【易错点 3】注意错误信息泄露，不应向用户展示详细的数据库错误。