كيفية منع حقن SQL في PHP

// ثغرة — لا تفعل هذا أبداً
$email = $_POST['email'];
$result = mysqli_query($conn, "SELECT * FROM users WHERE email = '$email'");

// يُرسل المهاجم: ' OR '1'='1
// يصبح الاستعلام:
// SELECT * FROM users WHERE email = '' OR '1'='1'
// هذا يُعيد كل صف في الجدول.

// الاتصال بـ PDO
$pdo = new PDO(
    'mysql:host=localhost;dbname=myapp;charset=utf8mb4',
    'db_user',
    'db_password',
    [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]
);

// آمن: placeholder بالموضع
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = ?');
$stmt->execute([$email]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);

$stmt = $pdo->prepare(
    'INSERT INTO users (name, email, role) VALUES (:name, :email, :role)'
);
$stmt->execute([
    ':name'  => $name,
    ':email' => $email,
    ':role'  => $role,
]);

// خاطئ أيضاً — لا تفعل هذا
$safeEmail = mysqli_real_escape_string($conn, $_POST['email']);
$result = mysqli_query($conn, "SELECT * FROM users WHERE email = '$safeEmail'");

// خاطئ للأعمدة الرقمية — لا اقتباسات، فالهروب لا يفعل شيئاً
$id = mysqli_real_escape_string($conn, $_GET['id']);
$result = mysqli_query($conn, "SELECT * FROM users WHERE id = $id");
// المهاجم يُرسل: 1 UNION SELECT password FROM admins

// عمود ORDER BY ديناميكي يختاره المستخدم
$allowedColumns = ['name', 'created_at', 'email'];
$column = in_array($_GET['sort'] ?? '', $allowedColumns, true)
    ? $_GET['sort']
    : 'created_at'; // قيمة افتراضية آمنة

$allowedDirections = ['ASC', 'DESC'];
$direction = in_array(strtoupper($_GET['dir'] ?? ''), $allowedDirections, true)
    ? strtoupper($_GET['dir'])
    : 'DESC';

// آمن للإدراج لأن القيم المعروفة الجيدة فقط تصل هنا
$stmt = $pdo->prepare("SELECT * FROM users ORDER BY {$column} {$direction}");
$stmt->execute();

// آمن — Query Builder يُضيف المعاملات تلقائياً
$user = DB::table('users')->where('email', $email)->first();

// آمن — Eloquent يفعل الشيء ذاته
$user = User::where('email', $email)->first();

// آمن أيضاً — ربط صريح على جزء raw
$users = DB::table('users')
    ->whereRaw('email = ? AND active = ?', [$email, 1])
    ->get();

// ثغرة — دمج سلاسل نصية داخل استدعاء raw
$users = DB::select("SELECT * FROM users WHERE name = '{$name}'");

// آمن — تمرير المدخل كـ binding، ليس داخل السلسلة
$users = DB::select('SELECT * FROM users WHERE name = ?', [$name]);

// ثغرة — raw مع مدخل مدموج
$users = DB::table('users')
    ->whereRaw("name = '{$name}'")->get();

// آمن — raw مع placeholder للـ binding
$users = DB::table('users')
    ->whereRaw('name = ?', [$name])->get();