使用php PDO扩展 来防止sql注入

PHP PDO

PHP 数据对象 （PDO） 扩展为PHP访问数据库定义了一个轻量级的一致接口。
PDO 提供了一个数据访问抽象层，这意味着，不管使用哪种数据库，都可以用相同的函数（方法）来查询和获取数据。
PDO随PHP5.1发行，在PHP5.0的PECL扩展中也可以使用，无法运行于之前的PHP版本。

---

使用PDO连接到 MySQL

语法：

<?php
$dbh = new PDO('mysql:host=localhost;dbname=test', $user, $pass);
?>

实例：

<?php
$dbms='mysql';     //数据库类型
$host='localhost'; //数据库主机名
$dbName='test';    //使用的数据库
$user='root';      //数据库连接用户名
$pass='';          //对应的密码
$dsn="$dbms:host=$host;dbname=$dbName";


$dbh = new PDO($dsn, $user, $pass); //初始化一个PDO对象  连接成功

使用PDO::prepare 来准备要执行的SQL语句

$st = $pdo->prepare("select * from share where id =? and uid = ?");

$id = 6;
$uid = 521;

$st->bindParam(1, $id);
$st->bindParam(2, $uid);

$st->execute();

上述代码中，？是占位符，可以安全的绑定任意值。预处理语句会自动过滤 $id,$uid 的值，防止数据库受到SQL注入攻击

---

php 5.3.6+ 可以直接使用上面的方式
但是 php版本<5.3.6 则需要考虑其他的情况
资料：
https://www.cnblogs.com/leezhxing/p/5282437.html

---

其他参考资料：
https://blog.csdn.net/m_zhurunfeng/article/details/78875019
https://blog.csdn.net/qq_37910492/article/details/86504507