防止 SQL 注入在 PHP 中的关键方法包括：1. 使用预处理语句（如 PDO 或 MySQLi）分离 SQL 代码和数据；2. 关闭模拟预处理模式确保真正预处理；3. 对用户输入进行过滤和验证，如使用 is_numeric() 和 filter_var()；4. 避免直接拼接 SQL 字符串，改用参数绑定；5. 生产环境关闭错误显示并记录错误日志。这些措施从机制和细节上全面防范 SQL 注入风险。
防止 SQL 注入在 PHP 中的关键在于正确处理用户输入并使用安全的数据库操作方式。别以为过滤几个关键字就能搞定，真正有效的防护需要从源头和机制上入手。
使用预处理语句（Prepared Statements）
这是目前最推荐的方法。预处理语句能将 SQL 代码和数据分离，从根本上防止注入。
如果你用的是 MySQL，建议使用 PDO 或 MySQLi，它们都支持预处理。
示例（以 PDO 为例）：
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = ?');
$stmt->execute([$email]);
$user = $stmt->fetch();这样即使 $email 是恶意输入，也会被当作普通字符串处理，不会影响 SQL 结构。
注意：一定要关闭“模拟预处理”模式，确保真正使用预处理：
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);过滤和验证用户输入虽然预处理已经很强大，但对用户输入做基本的检查还是有必要的。
对数字类型的字段，用 is_numeric() 或强制类型转换；对邮箱、URL 等格式，可以用 filter_var() 函数；比如验证邮箱：if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
// 邮箱不合法，拒绝处理
}这不仅能防注入，还能提升程序健壮性，减少无效请求。
避免拼接 SQL 字符串新手常犯的错误是直接把变量拼接到 SQL 里，比如：
$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];这种写法风险极高。哪怕你做了过滤，也很难覆盖所有情况。应该始终使用参数绑定的方式代替字符串拼接。
错误信息不要暴露给前端开发时我们喜欢打开错误提示方便调试，但在生产环境一定要关掉：
ini_set('display_errors', 0);否则攻击者可以通过报错信息了解你的数据库结构，从而进行更精准的攻击。
同时建议记录错误日志，而不是直接输出：
error_reporting(E_ALL);
ini_set('log_errors', 1);
ini_set('error_log', '/path/to/error.log');
基本上就这些。SQL 注入并不是什么高深的攻击手段，但很多漏洞都是因为忽视细节造成的。只要在开发中养成良好的习惯，就可以有效避免这类问题。
以上是如何防止PHP中的SQL注入的详细内容。更多信息请关注PHP中文网其他相关文章！