要防止SQL注入，使用PHP和MySQL類時，可以采取以下措施：
// 創建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢查連接
if ($conn->connect_error) {
die("連接失敗: " . $conn->connect_error);
}
// 預處理語句
$stmt = $conn->prepare("INSERT INTO users (username, email) VALUES (?, ?)");
// 綁定參數
$stmt->bind_param("ss", $username, $email);
// 設置參數并執行
$username = "alice";
$email = "alice@example.com";
$stmt->execute();
echo "新記錄插入成功";
// 關閉語句和連接
$stmt->close();
$conn->close();
使用MySQLi或PDO擴展：這兩個擴展都支持預處理語句。確保在你的代碼中使用它們而不是過時的mysql擴展。
數據驗證和過濾：對用戶輸入進行驗證和過濾，確保數據符合預期的格式。例如，可以使用正則表達式來驗證電子郵件地址。但請注意，數據驗證并不能完全防止SQL注入，因為惡意用戶可能會嘗試使用構造的輸入來繞過驗證。因此，預處理語句仍然是必要的。
權限管理：限制數據庫用戶權限，確保用戶只能執行他們需要的操作。避免使用具有全部權限的數據庫用戶。
最小權限原則：為應用程序分配最小的必需權限，以減少潛在的損害。例如，如果應用程序只需要從數據庫中讀取數據，不要授予寫入權限。
總之，使用預處理語句和參數化查詢是預防SQL注入的最有效方法。同時，確保使用最新的PHP擴展（如MySQLi或PDO），并對用戶輸入進行驗證和過濾。
