php如何防止sql注入
PHP防止sql注入是一个比较低级的问题了，这个问题其实在我大一上学期做第一个个人博客的时候就已经关注过了，不过简单的说一下关于PHP防注入的方式吧。
使用PDO防注入。
这是最简单直接的一种方式，当然低版本的PHP一般不支持PDO方式去操作，那么就只能采用其它方式。
采用escape函数过滤非法字符。
escape可以将非法字符比如 斜杠等非法字符转义，防止sql注入，这种方式简单粗暴，但是不太建议这么用。
自己手写过滤函数，手写一个php sql非法参数过滤函数来说还是比较简单的，但是你的函数需要非常的健壮，不让仍然有可能被非法黑客攻击；你的Coding水平直接决定了你的函数的健壮性。
各种框架里面其实都有对于非法字符过滤的支持，最简单的比如ThinkPHP，你可以直接防止注入。
写一个PHP扩展对于进入参数进行有选择的过滤。 开发一个PHP扩展是对于一个PHP高级程序员必备的技能，将你需要的功能打包在PHP扩展里面，就像黑词过滤一样进行检查，是非常方便的。一般都是用在自己写框架路由器转发的时候，如果你用扩展实现框架的路由器转发的话，可以顺便将参数过滤加入到PHP扩展里面，通过C去实现。
对于现在的防注入技术其实已经成熟了，对于一个站点该关心的不是防注入了，而是大规模高并发如何处理的问题，或者关于各种其他漏洞，比如现在世界上仍然有百分之80使用redis的站点存在redis漏洞，通过redis漏洞可以直接拿到机器的访问权限，一般来说都是直接给你种一个挖矿机器人来。
================
$query = "SELECT * FROM users WHERE username = :username AND password = :password";
$stmt = $db->prepare($query);
$stmt->bindValue(':username', $username);
$stmt->bindValue(':password', $password);
$stmt->execute();
================
这里的 :username 和 :password 是占位符，在执行查询时，会将它们替换为实际的变量值。使用参数化查询可以有效地防止 SQL 注入攻击，因为它不会将用户输入作为 SQL 语句的一部分。
此外，还可以使用转义函数对用户输入进行处理，以防止 SQL 注入攻击。在 PHP 中，可以使用 mysqli_real_escape_string 函数来转义用户输入。例如：
===================
$username = mysqli_real_escape_string($db, $username);
===================
这样，就可以将用户输入中的特殊字符转义，以防止 SQL 注入攻击。
防止 SQL 注入攻击的方法包括：
使用预处理语句和绑定参数：使用 PDO 或 mysqli 等库提供的预处理语句和绑定参数功能，可以将参数与 SQL 查询语句分离，从而避免 SQL 注入攻击。
过滤输入数据：在接收用户输入数据时，对数据进行过滤和验证，比如使用 PHP 内置函数如filter_var()、htmlspecialchars()等。
使用安全的编码方式：在向数据库中插入或更新数据时，使用安全的编码方式，比如将特殊字符转义为 HTML 实体或使用 addslashes() 函数等。
限制数据库用户权限：为了最小化损失，数据库用户的权限应该被限制为只读或只写，而不是具有管理员权限。
