参数直接拼SQL，被注入拖走用户表，用参数化查询+防火墙拦截，再也没出过事

新手写PHP代码，直接把用户传的参数拼到SQL语句里，被人传个注入语句，把整个数据库拖走，其实用参数化查询，就能挡住99%的SQL注入。第一，所有数据库查询，别把用户传的参数直接拼到SQL字符串里，用预处理参数绑定，自动过滤特殊字符；第二，数据库用户别用root权限，给网站的数据库用户只开读写权限，就算注入成功，也删不了库；第三，宝塔防火墙开SQL注入拦截，URL里带注入语句的直接拦；第四，错误信息别输出给用户，不然黑客顺着报错信息找注入点。

我之前写代码，直接把id参数拼进SQL，被人传个注入语句，把用户表全拖走，之后所有查询用参数绑定，开防火墙拦截，再也没被注入过。很多新手觉得小站没人注入，黑产脚本24小时扫全网，参数化查询，十分钟的事，就能挡住大部分注入。