防sql注入pdo
可以使用php的pdo對象，有預處理查詢功能可以防止注入，再有，注入sql無非就是基於你sql的拼接問題影響的執行sql，也可以不用pdo預處理，把獲取查詢的參數裡面的非法字元比如單引號雙引號等這些字元手動過濾也可以的
2. 淺談：在PHP中該怎樣防止SQL注入
使用預處理語句和參數化查詢。
禁止使用拼接sql語句，和參數類型驗證，就可以完全避免sql注入漏洞！
預處理語句和參數分別發送到資料庫伺服器進行解析，參數將會被當作普通字元處理。這種方式使得攻擊者無法注入惡意的SQL。 你有兩種選擇來實現該方法：
1、使用PDO：
$stmt=$pdo->prepare('SELECT*FROMemployeesWHEREname=:name');
$stmt->execute(array('name'=>$name));
foreach($stmtas$row){
//dosomethingwith$row
}2、使用mysqli：
$stmt=$dbConnection->prepare('SELECT*FROMemployeesWHEREname=?');
$stmt->bind_param('s',$name);
$stmt->execute();
$result=$stmt->get_result();
while($row=$result->fetch_assoc()){
//dosomethingwith$row
}
3. php如何防止sql注入
PHP防止sql注入是一個比較低級的問題了，這個問題其實在我大一上學期做第一個個人博客的時候就已經關注過了，不過簡單的說一下關於PHP防注入的方式吧。
對於現在的防注入技術其實已經成熟了，對於一個站點該關心的不是防注入了，而是大規模高並發如何處理的問題，或者關於各種其他漏洞，比如現在世界上仍然有百分之80使用redis的站點存在redis漏洞，通過redis漏洞可以直接拿到機器的訪問許可權，一般來說都是直接給你種一個挖礦機器人來。
4. 如何在PHP中防止SQL注入
你可以這樣參考下，借鑒下使用PDO：
復制代碼 代碼如下:
$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name')
$stmt->execute(array('name' => $name));
foreach ($stmt as $row) {
// do something with $row
}然後還有什麼不懂的話，可以多去後盾人看看相關的視頻教程
5. 留言板防灌水功能應該怎麼做怎麼防止sql注入用PHP編寫
防灌水：
對無意義帖判定，比如：字數太少，純數字，無意義的連續數字或字母。
發帖時間間隔和發帖量
系統設置一批關鍵詞匹配，發現有類似的先設為需審核 ，由後台手動操作。
防sql注入
先對提交數據中的危險字元過濾或編碼。比如：名稱或帖子標題，一定不能是html，直接進行htmlencode ，最後輸出到頁面上，也不會變成html，而是顯示原始字元。對需要使用html的內容部分，過濾script，style等標簽，或者直接用strip_tags 函數只保留必要的段落等排版標簽。
其次也可以考慮使用bbcode或markdown等對排版有限制的語法轉義
資料庫操作使用pdo參數編譯的模式，可以有效防止提交數據中的注入字元（會變成正常字元插入到資料庫中，這也可以防止誤判，因為很多IT類的技術帖需要在內容中有這些關鍵字）