如何用php防止数据库注入

要使用PHP防止数据库注入，您需要采用预处理语句和参数化查询。这样做可以确保用户提供的数据不会被解释为SQL代码，从而降低注入攻击的风险。以下是使用PHP和MySQLi扩展名进行预处理语句和参数化查询的示例：

1. 首先，创建一个MySQL数据库连接：

$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database";

// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);

// 检查连接
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}

2. 使用预处理语句和参数化查询来防止SQL注入：

// 预处理SQL语句
$stmt = $conn->prepare("INSERT INTO users (username, email) VALUES (?, ?)");

// 绑定参数（s表示字符串类型，i表示整数类型）
$stmt->bind_param("si", $username, $email);

// 设置参数值
$username = "john_doe";
$email = "john@example.com";

// 执行查询
if ($stmt->execute()) {
    echo "新记录插入成功";
} else {
    echo "Error: " . $stmt->error;
}

// 关闭语句和连接
$stmt->close();
$conn->close();

在这个示例中，我们使用prepare()方法创建了一个预处理语句，并使用bind_param()方法绑定了参数。这样，用户提供的数据将被视为字符串，而不是SQL代码，从而避免了SQL注入攻击。