在SQL语句中使用Session变量是否安全？用户能否修改该变量？

先给你吃个定心丸：你的SQL写法是安全的。你用了PDO的预处理语句（prepare）加上参数绑定（:Years），这种方式会把$_SESSION['years']的值当作纯数据处理，完全避免了SQL注入风险——数据库会把参数和SQL指令分开解析，不管这个值是什么，都不会被当作SQL代码执行，这是处理数据库查询的最佳实践之一。

接下来回答你最关心的问题：用户能不能直接修改$_SESSION['years']？

默认情况下，Session数据是存储在服务器端的，用户端只会保存一个Session ID（通常存在Cookie里），这个ID只是用来让服务器识别是哪个用户的Session，用户本身看不到也改不了服务器上存储的Session内容。所以正常情况下，用户没法直接修改$_SESSION['years']的值。

但有几种例外情况会导致Session变量被篡改，需要你排查：

• 你在代码里写了允许用户修改Session的逻辑：比如接收用户通过表单/URL提交的参数，直接赋值给$_SESSION['years']（比如$_SESSION['years'] = $_GET['years']），这种情况用户就能通过构造请求来修改。
• Session ID的存储不安全：比如把Session ID放在URL里（而不是HttpOnly的Cookie），容易被他人劫持Session，一旦Session被劫持，攻击者就能冒充该用户使用对应的Session变量。
• 服务器存在漏洞：如果服务器被入侵，攻击者可以直接访问服务器上的Session存储文件/数据库，从而修改Session内容。
• Session配置不当：比如错误地将Session存储在用户可访问的位置（比如网站根目录下的文件），或者使用了不安全的Session存储驱动。

总结一下：只要你的Session管理是规范的（用HttpOnly、Secure的Cookie存储Session ID，没有随意让用户输入修改Session的逻辑，服务器安全有保障），那$_SESSION['years']就是安全的，结合你现在的参数化查询写法，整个数据库操作都是安全的。

内容的提问来源于stack exchange，提问作者Inception