在PHP开发中，数据库查询是必不可少的一环。然而，SQL注入攻击是网络安全中最常见的攻击方式之一。为了确保网站的安全，以下将详细介绍6种实战技巧，帮助开发者防范PHP数据库查询中的SQL注入。
1. 使用预处理语句（Prepared Statements）
预处理语句是防止SQL注入的最佳实践之一。它通过将SQL语句与数据分离，避免了直接将用户输入拼接到SQL语句中，从而降低了注入风险。
示例代码：
// 连接数据库
$mysqli = new mysqli("localhost", "username", "password", "database");
// 预处理语句
$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
// 绑定参数
$stmt->bind_param("ss", $username, $password);
// 设置参数
$username = "user";
$password = "pass";
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
2. 使用参数化查询（Parameterized Queries）
参数化查询与预处理语句类似，也是通过将SQL语句与数据分离来防止SQL注入。
示例代码：
// 连接数据库
$mysqli = new mysqli("localhost", "username", "password", "database");
// 参数化查询
$sql = "SELECT * FROM users WHERE username = ? AND password = ?";
$stmt = $mysqli->prepare($sql);
// 绑定参数
$stmt->bind_param("ss", $username, $password);
// 设置参数
$username = "user";
$password = "pass";
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
3. 使用ORM（Object-Relational Mapping）
ORM是一种将对象与数据库表进行映射的技术，可以有效地防止SQL注入。使用ORM框架，如Laravel的Eloquent，可以简化数据库操作，并自动处理SQL注入问题。
示例代码（Laravel Eloquent）：
// 查询用户
$user = User::where('username', 'user')->where('password', 'pass')->first();
4. 对用户输入进行验证和过滤
在将用户输入用于数据库查询之前，应对其进行验证和过滤。可以使用正则表达式、白名单或黑名单等方式进行过滤。
示例代码：
// 验证用户名
$username = filter_var($username, FILTER_SANITIZE_STRING);
// 验证密码
$password = filter_var($password, FILTER_SANITIZE_STRING);
5. 使用数据库防火墙
数据库防火墙可以监控数据库访问行为，阻止恶意SQL注入攻击。常见的数据库防火墙有MySQL Workbench、SQLGuard等。
6. 定期更新和修复漏洞
保持数据库和PHP版本的更新，及时修复已知漏洞，是防止SQL注入的重要措施。
通过以上6种实战技巧，开发者可以有效地防范PHP数据库查询中的SQL注入，确保网站安全。在实际开发过程中，建议结合多种方法，提高网站的安全性。