前言：零点博主的真实复盘

大家好，我是零点博客的主理人。在之前的实战中，我们用C#开发过爬虫，但对于PHP开发者来说，在EMLOG这类PHP博客系统内二次开发爬虫或采集插件，效率更高。今天的主题是PHP开发中的进阶玩法：如何写一个既高效又安全的爬虫，同时解决后台开发中最头疼的SQL注入防护问题。这不仅仅是一个教程，更是我多年踩坑后总结的避坑指南。

技术选型与底层逻辑

这次实战我们将围绕HTML/CSS/JS前端解析和MySQL数据存储展开。我们需要通过接口获取外部数据，利用正则表达式提取关键内容，最后安全地存入数据库。很多人在写PHP爬虫时，喜欢用`mysql_query`拼接SQL，这简直是自寻死路，这也是本文要重点避开的坑。

第一步：构建数据抓取接口

首先，我们需要获取目标页面的HTML源码。虽然C#有强大的HttpWebRequest，但PHP的CURL库在处理多线程和代理方面更为灵活。拿到源码后，使用正则表达式提取标题和正文。

$url = 'https://target-blog.com/article';
$ch = curl_init($url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$html = curl_exec($ch);
curl_close($ch);

// 使用正则提取内容
if (preg_match('/<h1 class="title">(.*?)<\/h1>/is', $html, $matches)) {
    $title = $matches[1];
    echo "抓取成功：{$title}";
}

第二步：SQL注入防护与预处理语句

这是PHP开发中最重要的安全环节。当我们把抓取到的数据存入MySQL时，绝对不能直接拼接。以下对比两种错误做法与正确的预处理语句写法。

❌ 错误示范（高风险）：

$sql = "INSERT INTO emlog_post (title) VALUES ('$title')";
$mysqli->query($sql); // 若title包含单引号，直接崩溃或被注入

✅ 零点博主推荐做法（安全）：

// 连接数据库
$pdo = new PDO("mysql:host=localhost;dbname=emlog", "user", "pass");
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// 使用预处理语句
$stmt = $pdo->prepare("INSERT INTO emlog_post (title) VALUES (:title)");
$stmt->bindParam(':title', $title, PDO::PARAM_STR);
$stmt->execute();
// 无论$title中包含什么字符，数据库层都会将其视为普通字符串，彻底杜绝SQL注入。

避坑指南：JS与JSON解析的注意事项

在实际开发中，很多时候数据是接口返回的JSON格式。PHP解析JSON非常简单，`json_decode`即可。但要注意类型转换，否则前端JS接收时可能会因为PHP返回的字符串（带引号）与JS对象不一致而导致报错。确保在接口开发中，对返回数据进行了严格的格式校验。

总结

本次PHP开发实战，我们完成了一个从数据获取、正则解析、安全入库到JSON输出的一整套闭环。核心在于理解预处理语句对于防御SQL注入的决定性作用，以及正则匹配在处理非结构化HTML时的局限性。如果你正在做EMLOG二次开发，希望这篇基于底层逻辑的复盘能帮你少走弯路。

作者：零点博客 | 更新时间：2023-10-27