推荐答案
在 PHP 中，防止 SQL 注入攻击的最佳方法是使用预处理语句（Prepared Statements）和参数化查询。以下是使用 PDO 和 MySQLi 的示例：
使用 PDO 防止 SQL 注入
$pdo = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute(['email' => $email]);
$user = $stmt->fetch();使用 MySQLi 防止 SQL 注入
$mysqli = new mysqli('localhost', 'username', 'password', 'test');
$stmt = $mysqli->prepare('SELECT * FROM users WHERE email = ?');
$stmt->bind_param('s', $email);
$stmt->execute();
$result = $stmt->get_result();
$user = $result->fetch_assoc();本题详细解读
什么是 SQL 注入？
SQL 注入是一种常见的 Web 安全漏洞，攻击者通过在输入字段中插入恶意的 SQL 代码，从而操纵数据库查询，可能导致数据泄露、数据篡改甚至数据库服务器被控制。
为什么预处理语句能防止 SQL 注入？
预处理语句将 SQL 查询与用户输入的数据分开处理。SQL 查询的结构在预处理阶段就已经确定，用户输入的数据会被视为参数，而不是 SQL 代码的一部分。这样，即使用户输入了恶意的 SQL 代码，也不会被数据库执行。
PDO 和 MySQLi 的区别
- PDO：支持多种数据库（如 MySQL、PostgreSQL、SQLite 等），具有更好的可移植性。
- MySQLi：仅支持 MySQL 数据库，但提供了更多的 MySQL 特定功能。
其他防止 SQL 注入的方法
- 输入验证：对用户输入的数据进行严格的验证，确保其符合预期的格式和类型。
- 使用 ORM：使用对象关系映射（ORM）工具，如 Doctrine 或 Eloquent，可以进一步减少直接编写 SQL 查询的机会。
- 最小权限原则：数据库用户应仅具有执行必要操作的最小权限，避免使用具有高权限的账户连接数据库。
通过以上方法，可以有效地防止 SQL 注入攻击，保护应用程序和数据库的安全。