如何通过正则表达式校验防止网站注册页面的用户名SQL注入？

本文共计825个文字，预计阅读时间需要4分钟。

用户提交的用户名如直接拼接进以下SQL语句，则可能导致攻击者输入如`admin' --`或`test' OR '1'='1`等恶意内容，从而绕过验证、写入异常数据，甚至拖库。这不是会不会发生的问题，而是只要没有防护，就一定会被扫到的问题。

只用正则校验用户名够不够防SQL注入

不够。正则只是第一道过滤，不是银弹：

• 正则只能拦住明显恶意字符（比如单引号、分号、--、/*），但绕过方式极多：Unicode 编码、宽字节注入、双写关键字（seleselectct）、空字节截断等
• 正则规则太松 → 漏掉攻击载荷；太严 → 拦住合法用户名（如昵称含中文、emoji、连字符的用户）
• 正则在前端做毫无意义，必须后端执行，且不能替代参数化查询

推荐组合策略： - 前端用正则简单提示（提升体验，不依赖它防攻击） - 后端用正则做初步清洗（如 preg_replace('/['";-+/*\]/', '', $username)） - 但最终插入数据库前，必须走参数化查询

PHP 中注册逻辑怎么写才真正安全

核心是：永远不用字符串拼接构造 SQL。