要防止PHP注入攻擊，您可以采取以下措施：
// 使用PDO
$stmt = $pdo->prepare("INSERT INTO users (username, password) VALUES (:username, :password)");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();
// 使用MySQLi
$stmt = $mysqli->prepare("INSERT INTO users (username, password) VALUES (?, ?)");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
輸入驗證：對用戶輸入的數據進行驗證，確保它們符合預期的格式和類型。例如，可以使用正則表達式來驗證電子郵件地址或電話號碼。
轉義特殊字符：在將用戶輸入的數據插入到數據庫之前，使用PHP的內置函數（如htmlspecialchars()、addslashes()等）對其進行轉義，以防止潛在的代碼注入。
$username = htmlspecialchars($username);
$password = addslashes($password);
使用Web應用防火墻（WAF）：部署WAF可以幫助檢測和阻止SQL注入攻擊。例如，Cloudflare、Sucuri等公司提供WAF服務。
最小權限原則：為數據庫連接分配盡可能低的權限，以限制潛在的攻擊者在成功注入攻擊后能夠執行的操作。例如，如果應用程序只需要從數據庫中讀取數據，那么不要授予寫入權限。
更新和維護軟件：定期更新PHP、數據庫管理系統和其他相關軟件，以確保已應用最新的安全補丁。
錯誤處理：不要在生產環境中顯示詳細的錯誤信息，因為這可能會向攻擊者提供有關數據庫結構和漏洞的信息。使用自定義錯誤處理程序來記錄錯誤，并向用戶顯示友好的錯誤消息。
限制登錄嘗試次數：實施驗證碼、限制登錄嘗試次數或使用賬戶鎖定策略，以防止暴力破解攻擊。
遵循這些建議可以幫助您加強PHP應用程序的安全性，降低受到SQL注入攻擊的風險。
