如何为SQL插入操作绑定数组以防范SQL注入？

你原来的代码直接拼接SQL字符串，存在严重的SQL注入风险；而尝试预处理语句时，错误地将数组拼接成字符串传给bind_param，导致绑定失败。以下是两种正确的实现方式：

方式一：循环执行单条预处理插入（适合小批量数据） #

这种方式逻辑简单，每次循环绑定并执行单条插入，安全性拉满：

if (isset($_POST['checkbox_selected'])) {
    // 预处理单条插入语句
    $sql = "INSERT INTO map (user_id, feed_id, attribute_id, csvcolumn) VALUES (?, ?, ?, ?)";
    $stmt = $conn->prepare($sql);
    
    // 绑定参数占位符，类型标识'iiii'对应四个整数（根据字段实际类型调整，字符串用's'）
    $stmt->bind_param('iiii', $userid, $feed_id, $attribute, $csv);
    
    foreach ($_POST['checkbox_selected'] as $key => $value) {
        $findrow = array_search_partial($attributeid, $value);
        $attribute = $value;            
        $csv = $csvcolumn[$findrow];
        
        // 执行当前条目的插入
        $stmt->execute();
    }
    
    $stmt->close();
}

方式二：批量预处理插入（适合大批量数据，效率更高） #

通过生成多组占位符，一次性绑定所有参数，只执行一次插入操作：

if (isset($_POST['checkbox_selected'])) {
    $params = [];    // 存储所有参数值
    $types = '';     // 存储所有参数的类型标识
    $placeholders = []; // 存储每组值的占位符
    
    foreach ($_POST['checkbox_selected'] as $key => $value) {
        $findrow = array_search_partial($attributeid, $value);
        $attribute = $value;            
        $csv = $csvcolumn[$findrow];
        
        // 追加当前条目的四个参数值
        $params[] = $userid;
        $params[] = $feed_id;
        $params[] = $attribute;
        $params[] = $csv;
        // 追加类型标识（四个整数，所以每次加'iiii'）
        $types .= 'iiii';
        // 追加一组占位符
        $placeholders[] = '(?, ?, ?, ?)';
    }
    
    // 拼接完整的批量插入SQL
    $sql = "INSERT INTO map (user_id, feed_id, attribute_id, csvcolumn) VALUES " . implode(',', $placeholders);
    $stmt = $conn->prepare($sql);
    
    // 动态绑定参数：用call_user_func_array处理可变数量的参数
    call_user_func_array([$stmt, 'bind_param'], array_merge([$types], $params));
    
    $stmt->execute();
    $stmt->close();
}

关键注意事项 #

• bind_param不接受拼接后的字符串，必须单独传入每个参数值
• 类型标识要与字段实际类型匹配：i=整数，s=字符串，d=浮点数，b=二进制数据
• 动态绑定多参数时，必须用call_user_func_array展开数组参数，因为bind_param要求参数逐个传入

内容的提问来源于stack exchange，提问作者user18995117