SQL注入是攻击者利用web应用程序中的漏洞，将恶意SQL语句注入到数据库中，从而窃取或破坏数据的一种攻击手段。对于PHP开发者而言，了解和防止SQL注入是至关重要的。
预防措施
要预防PHP中的SQL注入，可以采取以下措施：
1. 使用参数化查询
参数化查询是在执行SQL语句时将用户输入作为参数传递，而不是直接拼接在SQL语句中。这可以有效防止攻击者注入恶意代码：
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param("s", $username);
$stmt->execute();
2. 转义用户输入
对于需要直接拼接在SQL语句中的用户输入，可以使用mysqli_real_escape_string函数来转义特殊字符，防止SQL注入：
$username = mysqli_real_escape_string($conn, $username);
3. 使用正则表达式验证输入
可以使用正则表达式验证用户输入是否符合预期的格式，过滤掉非法字符：
if (!preg_match("/^[a-z0-9_]+$/", $username)) {
die("Invalid username");
}
4. 限制查询执行的权限
只授予数据库用户执行特定查询的权限，从而限制攻击者访问敏感数据的能力：
GRANT SELECT ON users TO 'user'@'localhost';
5. 使用Web应用程序防火墙(WAF)
WAF可以检测和阻止恶意请求，包括SQL注入攻击。推荐使用第三方WAF或在服务器上配置内置WAF功能。
通过采取上述预防措施，PHP开发者可以有效防止SQL注入攻击，保护数据库和应用程序免受恶意代码的危害。
