参数验证和过滤：在接收用户输入的参数之前，对其进行验证和过滤。检查参数的类型、长度、格式等，确保输入符合预期。避免直接将用户输入拼接到 SQL 查询中。
使用Prepared Statements（预处理语句）：使用 PHP 中的 PDO（PHP Data Objects）或 mysqli 扩展来执行预处理语句。通过参数绑定，将用户输入的值与 SQL 语句分开，避免 SQL 注入。
转义特殊字符：如果无法使用预处理语句，对于用户输入中的特殊字符（如单引号、双引号等）进行转义，以防止它们改变 SQL 语句的语义。
数据库权限：合理设置数据库用户的权限，限制对敏感数据的访问，减少潜在的风险。
避免动态构建 SQL：尽量避免使用动态构建的 SQL 语句，而是使用参数化查询或存储过程来执行数据库操作。
输入验证：不仅要在数据库层面防止 SQL 注入，还要在应用程序的其他部分进行输入验证，确保用户输入的合法性和安全性。
安全编码实践：遵循安全编码的最佳实践，包括避免将敏感信息硬编码在代码中、处理错误和异常情况等。
定期安全审计：定期对代码进行安全审计，检查是否存在潜在的安全漏洞，并及时修复。
更新和强化 PHP 环境：保持 PHP 及其相关库的更新，以获取最新的安全修复和改进。