由 dawei 在PHP开发中，安全防注入是绕不开的核心议题。SQL注入攻击的本质是攻击者通过构造恶意输入，干扰数据库查询逻辑。防范的关键在于参数化查询，例如使用PDO预处理语句：`$stmt = $pdo->prepare(\”SELECT FROM users WHERE id = ?\”); $stmt->execute([$id]);`。这种方式能将数据与SQL语法分离，即使输入包含特殊字符也不会被解析为命令。对于遗留项目，若必须使用`mysql_`函数，需通过`mysql_real_escape_string()`转义，但强烈建议升级到PDO或MySQLi扩展。
XSS（跨站脚本攻击）的防御需区分场景。存储型XSS要求对用户输入进行严格过滤，如使用`htmlspecialchars()`转义输出到HTML的内容：`echo htmlspecialchars($userInput, ENT_QUOTES, ‘UTF-8’);`。对于富文本编辑器，需结合白名单过滤库（如HTML Purifier）保留安全标签。CSRF攻击则可通过同步令牌模式解决，在表单中添加隐藏字段：`