在PHP中，SQL注入攻击是一种常见的安全问题。攻击者通过构造恶意SQL语句，将恶意代码注入到应用程序中，从而获取敏感数据或者对数据库造成破坏。因此，在编写PHP程序时，我们需要采取措施来防止SQL注入攻击。
phpmysqli防注入攻略
mysqli是PHP中与MySQL交互的扩展，它提供了一种有效的防止SQL注入攻击的方法。下面是一些使用mysqli防治SQL注入攻击的建议。
使用mysqli类中的prepare语句
在使用mysqli连接MySQL数据库时，我们可以使用mysqli类中的prepare语句。prepare语句是一种预处理语句，它可以有效地防止SQL注入攻击。
prepare语句的使用方法如下：
//创建一个mysqli对象
$conn = new mysqli($servername, $username, $password, $dbname);
//预处理SQL语句
$stmt = $conn->prepare(\SELECT * FROM users WHERE username=? and password=?\//绑定参数
$stmt->bind_param(\ss\ $username, $password);
//执行查询
$stmt->execute();
//获取查询结果
$result = $stmt->get_result();
当我们使用prepare语句时，我们需要将待查询的SQL语句分成两部分：查询语句和查询参数。查询参数使用?占位符来代替实际的参数值。在执行查询之前，我们将实际的参数值绑定到占位符上，这样就可以防止SQL注入攻击。
使用mysqli_real_escape_string函数
mysqli_real_escape_string函数是mysqli扩展中一个非常重要的函数，它可以将特殊字符转义，从而避免SQL注入攻击。
使用mysqli_real_escape_string函数的方法如下：
//创建一个mysqli对象
$conn = new mysqli($servername, $username, $password, $dbname);
//获取需要转义的字符串
$username = mysqli_real_escape_string($conn, $username);
//执行查询
$sql = \SELECT * FROM users WHERE username='$username' and password='$password'\$result = $conn->query($sql);
在使用mysqli_real_escape_string函数时，我们需要将需要转义的字符串作为第一个参数传入函数中。函数会将特殊字符进行转义，并返回转义后的字符串。
使用数据库准确的数据类型
在创建数据库表时，我们需要根据数据类型来设置字段类型。如果我们将字段类型设置为错误的数据类型，就有可能会导致SQL注入攻击。
例如，在创建一个存储用户密码的字段时，我们应该将其数据类型设置为varchar，并且设置合适的长度。如果我们将其数据类型设置为int，那么就无法存储所有的密码字符，这样就会导致SQL注入攻击。
总结
在PHP中，SQL注入攻击是一种常见的安全问题。为了防止SQL注入攻击，我们可以使用mysqli类中的prepare语句、mysqli_real_escape_string函数以及正确的数据类型等方法。通过这些措施，我们可以有效地保护应用程序的安全，避免数据库被恶意攻击。
部分代码转自：https://www.songxinke.com/php/2023-07/252513.html
