117笔记问答在Apache MySQL中，防止SQL注入的最佳实践是使用预编译语句（Prepared Statements）和参数化查询。这种方法可以有效防止恶意用户通过插入恶意SQL代码来操纵数据库。
以下是使用预编译语句和参数化查询的一些建议：
-
使用PHP的MySQLi或PDO扩展。这两个扩展都支持预编译语句和参数化查询。
-
准备SQL语句。在执行查询之前，先创建一个包含SQL语句的变量，其中不包含任何参数。例如：
$sql = "SELECT * FROM users WHERE username = ? AND password = ?";
- 绑定参数。使用预编译语句的bind_param()方法将参数绑定到SQL语句中的占位符。例如：
$stmt = $mysqli->prepare($sql);
$stmt->bind_param("ss", $username, $password);
这里，"ss"表示两个参数都是字符串类型。参数类型可以根据实际情况进行调整。
- 执行查询。使用预编译语句的execute()方法执行查询。例如：
$stmt->execute();
- 获取结果。使用预编译语句的fetch_all()方法获取查询结果。例如：
$result = $stmt->get_result();
- 关闭预编译语句。在完成查询后，使用预编译语句的close()方法关闭预编译语句。例如：
$stmt->close();
通过遵循以上步骤，可以有效地防止SQL注入攻击。预编译语句和参数化查询确保了用户输入不会被解释为SQL代码，从而降低了数据库受到攻击的风险。