PHP数据库交互与SQL注入漏洞
•PHP通过mysqliconnect建立连接，接收用户输入($POST)，执行SQL拼接(mysqli_query)，处理结果展示登录状态.
•SQL注入漏洞源于用户输入直接拼接至SQL语句（如 name"'），导致攻击者输入恶意代码篡改查询逻辑.
•攻击演示：输入用户名(如student)，密码输入'or'1'='1，执行登录后因SQL条件恒真而绕过验证.
•实战技术：Union查询合并结果集；Order by判断字段数（报错时数字减1为字段数）；Payload构造用于获取库、表、字段信息.
数据库安全加固策略
•最小权限原则：创建独立用户(如CREATE USER)，仅授予必要权限(GRANT SELECT/INSERT)，严禁使用root等超级管理员账号.
•开启审计日志：执行setglobalgeneral_log=on，记录所有SQL操作，支持安全事件追踪与事后溯源.
•数据备份采用"3-2-1原则"：3份数据(原始+2份副本)、2种介质(如本地+云存储)、1份离线备份(如移动硬盘)，防止单点故障和远程删除.
•安全防御核心：过滤输入字符从源头拦截恶意代码，结合最小权限和备份策略建立层层防护体系.