通俗易懂的php防注入代码

针对“通俗易懂的 PHP 防注入代码”的完整攻略，我们可以从以下几个方面入手：

1. 理解 SQL 注入

在防注入代码中，首先需要了解 SQL 注入（SQL Injection）的概念和原理。SQL 注入是指攻击者通过在输入框或 URL 参数等处输入特殊的 SQL 语句，以达到绕过应用程序身份验证、篡改或绕过数据访问权限、窃取或破坏数据等目的。

常见的 SQL 注入方式包括联合查询注入、报错注入、布尔注入等。比如，攻击者可以通过输入以下语句来尝试实现 SQL 注入：

SELECT * FROM users WHERE username='admin' AND password='' OR '1'='1'

这条语句会始终返回全部用户记录，因为 '1'='1' 恒为真，攻击者可以通过这种方式绕过密码验证。

2. 使用参数化查询

为了避免 SQL 注入，我们可以采用参数化查询（Prepared Statements）的方式。参数化查询是指使用参数占位符（Placeholder）的方式来构建 SQL 语句，而不是直接将用户输入的内容拼接到 SQL 语句中。这样可以避免攻击者将恶意代码注入 SQL 语句之中。

示例代码如下：

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
$stmt->execute([
    ':username' => $username,
    ':password' => $password,
]);

其中，:username 和 :password 是参数占位符，使用 execute 方法时会将参数的实际值传入。这样，就避免了攻击者通过拼接字符串的方式注入恶意代码。

3. 过滤用户输入

除了采用参数化查询的方式外，我们还可以对用户输入的内容进行过滤和校验。比如，可以使用 filter_input 函数，对用户输入的字符串进行过滤，只保留所需的字符（比如数字、字母、下划线等）。

示例代码如下：

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);

其中，filter_input 函数的第一个参数是用户输入的来源（比如 $_POST），第二个参数是输入的键名（比如 username），第三个参数是要保留的字符类型。这样，就可以确保输入仅包含合法的字符。

4. 使用框架或库自带的防注入功能

最后，为了更好地防范 SQL 注入攻击，我们还可以使用框架或库自带的防注入功能。比如，Laravel 框架提供了 Eloquent ORM，可以自动进行参数化查询和字符过滤等操作。另外，PDO 和 MySQLi 等库也提供了防注入机制，可以有效减少注入风险。

综上所述，以上就是防注入代码的完整攻略，可以根据实际情况选择合适的方式进行防护。