写PHP直接拼SQL语句，用户在地址栏改参数，直接把整个数据库拖走了

之前写文章详情页，我直接把地址栏传的id参数拼到SQL语句里，根本没做过滤，结果有天查日志，发现有人在地址栏传了个特殊字符串，直接把我整个数据库的用户表、文章表全导出了，数据全被人拖走，我当时吓出一身冷汗。 后来我赶紧改成用预处理语句，所有用户传的参数全做绑定过滤，再也不直接拼SQL，从那之后再也没出现过SQL注入的问题。很多新手写PHP，图省事直接把用户传的参数拼到SQL里，根本不知道这样等于把数据库大门钥匙给了别人，用户随便在地址栏改参数，就能把你整个数据库拖走。真的，写PHP操作数据库，永远用预处理语句，别直接拼SQL，不然SQL注入来了，数据全没了。