PHP如何安全处理GET参数避免SQL注入

不少 PHP 开发者可能都遇到过这样的情形：想在双引号字符串的花括号里直接使用空合并运算符（）或空安全操作符，却发现代码无法运行。根本原因在于，PHP 在此处有限制——必须先对变量进行解构和校验，再通过预处理语句来安全执行 SQL 查询。

常见陷阱：PHP 字符串插值中的限制

在 PHP 字符串的花括号插值（例如 "{$var}"）中，它只支持简单变量、变量属性访问或者带括号的表达式。而类似 、:、-> 方法调用或者数组下标带默认值这类复合表达式，是无法直接使用的。下面的代码要么直接报错，要么为 SQL 注入留下后门：

//  语法错误：在插值里用 ，代码无法运行
$sql = "SELECT * FROM `news` WHERE `id` = {$_GET['id']  null}";

//  同样无效且危险：用 @ 屏蔽错误 ≠ 提供安全默认值， 依然无法解析
$sql = "SELECT * FROM `news` WHERE `id` = {@$_GET['id']}";

//  最危险：直接将用户输入拼接到 SQL 中，典型的 SQL 注入操作
$sql = "SELECT * FROM `news` WHERE `id` = {$_GET['id']}";

正确做法：分离逻辑与数据，显式提取、校验与绑定

最推荐的方法是使用 PDO 或 MySQLi 的预处理语句（Prepared Statements）。这是防御 SQL 注入的黄金标准：

//  安全、清晰、符合现代 PHP 最佳实践
$id = $_GET['id']  null; // 先用  获取默认值

// 强烈建议进行类型校验
if (!is_numeric($id) || (int)$id <= 0) {
    die('Invalid ID');
}

// 预处理语句，将参数与查询分离，杜绝注入风险
$stmt = $pdo->prepare("SELECT * FROM `news` WHERE `id` = ?");
$stmt->execute([$id]);
$result = $stmt->fetch();

需要特别留意的细节

• 永远不要将用户输入直接拼接到 SQL 字符串中——无论是否加引号、使用 或 @。
• @ 错误抑制符无法替代空合并逻辑。它仅屏蔽 Notice/Warning，不会提供默认值，还会干扰调试。
• $_GET 中的数据均为字符串，需要显式转换为目标类型，例如 (int) 或 filter_var($id, FILTER_VALIDATE_INT)。
• 如果允许空 ID 表示“不限”，则需使用条件构建查询，而非直接传递 NULL 给 = （因为 id = NULL 永远为 false，应改用 IS NULL 或动态 WHERE 子句）。

总结

PHP 字符串插值的语法虽然简洁，但能力有限。安全永远比“写法酷”更重要。先解构、再验证、最后绑定——遵循这套“三步走”原则，才能构建稳扎稳打的 Web 应用基础。