如何有效利用PHP类防止SQL注入攻击？

PHP防SQL注入类 _PHP

在PHP中，防止SQL注入是非常重要的安全措施，下面是一个名为_PHP的简单防SQL注入类的例子：

class _PHP {
    private $connection;
    public function __construct($host, $username, $password, $database) {
        $this->connection = new mysqli($host, $username, $password, $database);
        if ($this->connection->connect_error) {
            die("Connection failed: " . $this->connection->connect_error);
        }
    }
    public function query($sql, $params = []) {
        $stmt = $this->connection->prepare($sql);
        if (!$stmt) {
            die("Prepare failed: " . $this->connection->error);
        }
        if ($params) {
            $types = '';
            $values = [];
            foreach ($params as $key => &$value) {
                if (is_int($value)) {
                    $types .= 'i';
                } elseif (is_float($value)) {
                    $types .= 'd';
                } elseif (is_string($value)) {
                    $types .= 's';
                } else {
                    $types .= 'b';
                }
                $values[] = &$value;
            }
            $values = array_merge([$types], $values);
            call_user_func_array([$stmt, 'bind_param'], $this->refValues($values));
        }
        $stmt->execute();
        return $stmt;
    }
    private function refValues($arr) {
        if (strnatcmp(phpversion(), '5.3') >= 0) {
            $refs = [];
            foreach ($arr as $key => $value) {
                $refs[$key] = &$arr[$key];
            }
            return $refs;
        }
        return $arr;
    }
    public function close() {
        $this->connection->close();
    }
}

使用方法

1、创建一个_PHP类的实例，传入数据库连接参数（主机名、用户名、密码和数据库名）。

2、使用query方法执行SQL查询，传入SQL语句和一个关联数组作为参数，数组的键对应于SQL语句中的占位符，值是要绑定的实际值。

3、query方法会自动处理参数绑定和执行SQL查询，返回一个预处理语句对象。

4、当不再需要数据库连接时，调用close方法关闭连接。

示例代码

// 创建数据库连接实例
$db = new _PHP('localhost', 'username', 'password', 'database');
// 准备SQL查询语句和参数
$sql = "SELECT * FROM users WHERE username = ? AND password = ?";
$params = ['john_doe', 'secret'];
// 执行查询并获取结果
$result = $db->query($sql, $params);
// 处理结果...
while ($row = $result->fetch_assoc()) {
    echo "Username: " . $row['username'] . "<br>";
    echo "Email: " . $row['email'] . "<br>";
}
// 关闭数据库连接
$db->close();

这个简单的防SQL注入类使用了预处理语句和参数绑定来确保用户输入的数据不会被解释为SQL代码，从而避免了SQL注入攻击。