PHP中用$var = $var + 0的方式能否有效防范SQL注入？

咱们先直接说结论：这种方法在有限场景下能起到一定的SQL注入防范作用，但并非绝对安全，更不是值得推荐的最佳实践。

为什么它能暂时“管用”？ #

PHP的类型转换是松散的，当你执行$var + 0时，会把变量强制转换为数字类型：

• 如果$var是字符串形式的数字（比如"123"），会直接转成整数123；
• 如果$var是带恶意注入代码的字符串（比如"123 OR 1=1"），PHP会提取开头的数字部分，转成123，注入代码直接被丢弃，拼接后的SQL就变成了SELECT * FROM whatever WHERE id = 123，不会触发注入。

但它存在不少安全隐患和问题： #

• 非预期的类型转换逻辑：如果用户输入的是"123abc"这种字符串，$var + 0会得到123——这不是无效输入，而是直接变成了一个合法ID，可能导致返回错误的数据，引发业务逻辑问题。
• 特殊值处理风险：如果$var是十六进制字符串（比如"0x1A"），PHP会自动转成十进制的26；如果是布尔值true，会转成1，false转成0，这些转换结果可能完全不符合业务预期。
• 数组/对象等复杂类型的漏洞：如果$var是数组，$var + 0会返回0，拼接后的SQL变成WHERE id = 0，可能泄露不该被看到的数据；如果是对象，PHP尝试转换时大概率会报错，错误信息可能泄露系统细节，同时SQL也会出错。
• 容易养成不良编码习惯：这种方法只适用于整数参数，一旦遇到字符串类型的参数（比如用户名、邮箱）误用此方法，会直接导致SQL注入漏洞，风险极高。

推荐的安全做法 #

不管是整数还是字符串参数，预处理语句（Prepared Statements）才是防范SQL注入的黄金标准，它让数据库直接处理参数的类型校验和转义，完全避免手动拼接的风险。示例代码如下：

// PDO示例
$stmt = $pdo->prepare("SELECT * FROM whatever WHERE id = :id");
$stmt->bindParam(':id', $var, PDO::PARAM_INT);
$stmt->execute();

// MySQLi示例
$stmt = $mysqli->prepare("SELECT * FROM whatever WHERE id = ?");
$stmt->bind_param("i", $var);
$stmt->execute();

如果一定要手动处理整数参数，也建议用(int)$var或者intval($var)来强制转换，效果和$var + 0类似，但可读性更强，明确表达了“转换为整数”的意图，比模糊的加法操作更清晰。

内容的提问来源于stack exchange，提问作者Jesse Guardiani