PHP中如何防止SQL注入

在PHP中如何防止SQL注入？下面是简单的ＳＱＬ注入案例：

$unsafe_variable = $_POST['user_input']; 

mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')");

如果用户输入value'); DROP TABLE table;那就可以把表给删了，危害性很大。

为防止这种情况发生，应该使用prepared statements和parameterized queries.可以使用PDO扩展函数或mysqli扩展函数。mysql扩展函数不支持，这也是为什么自PHP7起就不再支持mysql扩展。

使用PDO(可以用在所有支持的数据库)

$stmt = $pdo->prepare('SELECT * FROM teammembers WHERE name = :name');

$stmt->execute(array('name' => $name));

foreach ($stmt as $row) {
    // do something with $row
}

使用MySQLi（仅用在MySQL)

$stmt = $dbConnection->prepare('SELECT * FROM teammembers WHERE name = ?');
$stmt->bind_param('s', $name);

$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // do something with $row
}