使用foreach批量插入多分类时，如何防范SQL注入？

好问题！处理多值参数的SQL注入其实和单值思路一致——核心还是用预处理语句，只是需要动态生成对应数量的占位符就行。我结合你的场景给你一步步拆解解决方案：

不管是单个变量还是多个分类，预处理语句的本质都是把SQL逻辑和数据完全分开，所以针对多值的$categories数组，我们只需要为每个分类生成一个占位符，再把所有参数（包括$business_id和每个分类）统一绑定即可。

第一步：先清洗输入数组（避免无效数据） #

首先确保$categories是合法的非空数组，过滤掉空值或无效项，避免后续SQL语法出错：

function recreate_categories_for_business($business_id, $categories) {
    $categories = json_decode($categories, true); // 确保转为关联数组
    // 过滤空值、非字符串的分类项，同时去除首尾空格
    $categories = array_filter($categories, function($cat) {
        return is_string($cat) && trim($cat) !== '';
    });
    $categories = array_map('trim', $categories);

    // 处理空分类的边界情况：直接清空该商家的旧分类
    if (empty($categories)) {
        $pdo = get_pdo_connection(); // 假设你有获取PDO连接的函数
        $stmt = $pdo->prepare("DELETE FROM business_categories WHERE business_id = ?");
        $stmt->execute([$business_id]);
        return true;
    }
    // ... 后续插入逻辑
}

第二步：动态生成占位符并构建预处理SQL #

假设你的表结构是business_categories(business_id, category)，我们可以用批量插入的方式，为每个分类生成一组占位符，再统一绑定参数：

// 继续上面的函数逻辑
$pdo = get_pdo_connection();

// 先删除该商家的旧分类（必须用预处理，防注入）
$stmt = $pdo->prepare("DELETE FROM business_categories WHERE business_id = ?");
$stmt->execute([$business_id]);

// 为每个分类生成一组(?, ?)占位符，再拼接成完整的INSERT语句
$valueGroups = implode(', ', array_fill(0, count($categories), "(?, ?)"));
$insertSql = "INSERT INTO business_categories (business_id, category) VALUES {$valueGroups}";

// 准备预处理语句
$stmt = $pdo->prepare($insertSql);

// 构建参数数组：每个分类对应一组(business_id, category)
$params = [];
foreach ($categories as $cat) {
    $params[] = $business_id;
    $params[] = $cat;
}

// 执行预处理语句
$stmt->execute($params);

return true;

额外防护：验证分类合法性（可选但推荐） #

除了预处理，你还可以提前验证分类的格式，比如限制长度、只允许合法字符，进一步避免恶意数据进入数据库：

// 在过滤数组的步骤中添加正则验证（可根据业务需求调整规则）
$categories = array_filter($categories, function($cat) {
    if (!is_string($cat) || trim($cat) === '') {
        return false;
    }
    // 只允许中文、英文、数字、空格和常用标点
    return preg_match('/^[\p{Han}a-zA-Z0-9\s\-_,]+$/u', trim($cat));
});

如果用mysqli扩展怎么办？ #

如果你用的是mysqli而非PDO，思路完全一致，只是语法略有不同：

// 假设你已获取mysqli连接$conn
$stmt = $conn->prepare("DELETE FROM business_categories WHERE business_id = ?");
$stmt->bind_param("i", $business_id); // "i"表示整数类型，根据你的business_id类型调整
$stmt->execute();

// 生成批量插入的占位符组
$valueGroups = implode(', ', array_fill(0, count($categories), "(?, ?)"));
$insertSql = "INSERT INTO business_categories (business_id, category) VALUES {$valueGroups}";

$stmt = $conn->prepare($insertSql);
// 生成参数类型字符串：比如3个分类就是"isiisi"（i=整数，s=字符串）
$types = str_repeat("is", count($categories));
// 用call_user_func_array绑定参数
$params = [];
$params[] = &$types;
foreach ($categories as $cat) {
    $params[] = &$business_id;
    $params[] = &$cat;
}
call_user_func_array([$stmt, 'bind_param'], $params);

$stmt->execute();

• 绝对不要直接把$categories的内容拼接进SQL语句，哪怕是循环拼接也不行
• 预处理语句是防范SQL注入的黄金标准，不管单值还是多值场景都适用
• 提前清洗和验证输入数据，既能避免SQL语法错误，也能进一步提升系统安全性

内容的提问来源于stack exchange，提问作者user3614030