零点博客复盘：PHP开发中如何彻底防止SQL注入？从EMLOG接口底层逻辑拆解
在之前分享的PHP开发实战经验中，很多朋友私信问我关于建站安全的问题。特别是对于使用EMLOG进行二次开发的朋友，如果接口层没有做好防护，很容易被搜索引擎和爬虫误伤，甚至导致数据泄露。今天零点博客以一次真实的后端开发经历为例，不讲虚的理论，直接上干货，带大家彻底搞懂SQL注入防护与预处理语句。
一、踩坑现场：为什么老代码容易出问题？
很多初学者在做建站开发时，习惯直接拼接 SQL 语句，比如：
<?php
// 绝对不要这么写！这是典型的SQL注入漏洞
$sql = "SELECT * FROM emlog_article WHERE title LIKE '%".$keyword."%'";
?>
一旦用户输入的 `$keyword` 包含恶意代码（如 `' OR '1'='1`），数据库就会乖乖执行非法查询。在爬虫开发场景下，如果你不处理好输入清洗，可能会触发对方网站的防刷机制。
二、核心解法：PDO预处理语句
为了解决这个问题，我们需要在PHP开发中引入预处理语句。这是目前最主流、也是最安全的方案。预处理将 SQL 语句的模板与数据分离，数据库只把数据当成普通字符串处理。
实战案例：构建安全的EMLOG数据查询接口
假设我们要开发一个接口，根据用户ID查询文章。使用 PDO 预处理如下：
<?php
// 数据库配置
$dsn = 'mysql:host=localhost;dbname=emlog;charset=utf8mb4';
$pdo = new PDO($dsn, 'root', 'password');
// 获取前端传入的ID
$id = isset($_GET['id']) ? intval($_GET['id']) : 0; // 防止非法数字进入
// 1. 准备语句：?号是占位符
$stmt = $pdo->prepare('SELECT title, content FROM emlog_article WHERE uid = :uid LIMIT 1');
// 2. 绑定参数并执行
// 使用命名参数 :uid 更加清晰
$stmt->bindParam(':uid', $id, PDO::PARAM_INT);
$stmt->execute();
// 3. 获取结果
$result = $stmt->fetch(PDO::FETCH_ASSOC);
?>
看，整个过程中，无论传入什么参数，它都会被当作字符串处理，绝不会被执行成代码。这就是底层拆解最核心的环节。
三、数据清洗：正则表达式与JSON解析
除了SQL注入防护，在接口开发中，对返回的JSON数据格式化也非常重要。我们经常需要用到正则表达式来清洗抓取到的文本数据。
<?php
// 假设我们抓取了一段包含HTML标签的文本
$htmlContent = "<p>Hello <b>ZeroPoint</b>!</p>";
// 使用正则表达式去除HTML标签，只保留纯文本
$cleanText = preg_replace('/<[^>]+>/', '', $htmlContent);
echo $cleanText; // 输出: Hello ZeroPoint!
// 将清洗后的数据转换为JSON格式输出给前端
header('Content-Type: application/json');
echo json_encode(['status' => 'success', 'data' => $cleanText]);
?>
这里我们通过JSON/XML数据解析技能，确保了前端接收到的数据是干净、可用的。在在线工具开发中，这种“数据清洗 -> 格式化 -> 输出”的流程是标准配置。
四、避坑指南与总结
在做EMLOG二次开发或自研CMS时，我总结了几条经验：
- 永远不要信任用户输入：无论是 GET 还是 POST 请求，一定要进行类型强制转换（如用 intval()）或长度限制。
- 强制使用预处理：哪怕是简单的查询，养成使用 PDO prepare 的习惯能省去无数排查安全问题的精力。
- 分页查询要小心：在MySQL数据库操作中，如果处理不好分页参数，容易出现越权访问。
希望这篇结合了PHP开发、爬虫开发与SQL防护的复盘文章，能帮大家守住建站的安全底线。如果你觉得有用，欢迎在零点博客评论区交流更多底层拆解的心得！
评论一下吧
取消回复