SQL注入防护不能仅依赖内网隔离必须采用参数化查询mysqli_real_escape_string存在绕过风险需严格匹配字符集ORM的raw()方法、动态字段名等业务逻辑漏洞是高危点须白名单校验与权限最小化。数据库放内网隔离区只是SQL注入防护的起点不是终点。 单靠网络隔离无法阻止应用层注入——只要应用代码里拼接了用户输入攻击者就能通过合法接口比如登录、搜索把恶意SQL送进去内网数据库照常执行。为什么mysqli_real_escape_string不能代替参数化查询它只做字符转义不改变SQL语法结构。遇到宽字节编码如gbk、多字节字符集边界、或MySQL旧版本的sql_mode宽松设置时转义可能被绕过。更关键的是它要求开发者手动调用、且必须匹配当前连接的字符集漏一处就全盘失效。实操建议 VWO 一个A/B测试工具