trim()与strip_tags()能否防范PHP SQL注入？效果是否等同PDO/预处理语句？

嘿，咱们直接把问题拆解开说清楚：

1. 先搞懂这两个函数到底是干嘛的 #

• trim()：仅用于移除字符串首尾的空白字符（空格、换行符、制表符等），对SQL注入的核心恶意内容（比如单引号、OR 1=1这类关键字）完全起不到任何过滤作用。
• strip_tags()：作用是移除字符串中的HTML/XML标签（比如<script>、<div>），但SQL注入根本不需要依赖HTML标签就能发起攻击——比如输入admin' --，这个字符串里没有任何标签，strip_tags会原封不动保留它，照样能触发注入。

2. 你的代码示例为什么防不住注入 #

假设你用处理后的变量直接拼接SQL：

$username = strip_tags(trim($_POST["username"]));
$password = strip_tags(trim($_POST["password"]));
$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";

如果攻击者输入用户名：admin' OR '1'='1，trim和strip_tags都不会修改这个字符串，最终生成的SQL会变成：

SELECT * FROM users WHERE username='admin' OR '1'='1' AND password='...'

这条SQL会直接返回所有用户数据，轻松绕过验证——这就是典型的SQL注入成功案例。

3. PDO/预处理语句为什么是可靠的 #

预处理语句的核心逻辑是把SQL结构和用户数据彻底分离：

1. 先把带有占位符的SQL模板发送给数据库编译（比如SELECT * FROM users WHERE username=? AND password=?）；
2. 再单独把用户数据（处理后的username、password）发送给数据库，数据库会把数据当成纯值填充，绝不会把它解析成SQL命令的一部分。

这种方式从根源上切断了攻击者通过输入篡改SQL逻辑的可能，是业界公认的、唯一可靠的SQL注入防范方案，和trim/strip_tags这类“隔靴搔痒”的函数完全不在一个等级。

4. 为什么有人觉得你的问题是重复的 #

因为“用trim/strip_tags这类非针对性函数防SQL注入”是非常常见的新手误区，社区里已经有大量重复的提问和明确的回答——核心都是强调必须使用参数化查询，而不是依赖这类无关函数过滤。所以别人可能认为你的问题本质上和那些已解决的问题一致，属于重复提问。

内容的提问来源于stack exchange，提问作者Sakib