PHP Query Params是一種在Web開發中使用的技術，它可以讓我們在請求URL后添加參數，以實現對頁面或數據的篩選和排序。舉個例子，我們可以通過在URL后面添加 ?page=2 來實現在第二頁展示數據，或者通過添加 ?sort=price&order=asc 來按價格升序排列商品列表。
但是，如果您沒有對請求參數進行適當的處理和驗證，可能會容易受到SQL注入攻擊。攻擊者可以利用查詢參數將任意的SQL代碼插入您的數據庫中，并造成不可預知的危害。因此，在使用PHP Query Params時，您需要保證您的代碼可以正確處理和驗證輸入參數，以避免這些危險。
為了避免這些風險，我們需要對請求參數進行準確的類型驗證和值驗證，并對可能存在的SQL注入攻擊進行預防。下面是一個基于PDO實現的具有輸入驗證和SQL注入預防的PHP Query Params樣例：

function getProducts($page, $sort, $order) {
$page = (int) $page; // 確保$page參數為整數類型
if ($page < 1) {
throw new Exception("Invalid page number specified.");
}
<br>
    $allowedSort = array('name', 'price', 'quantity');
if (!in_array($sort, $allowedSort)) {
throw new Exception("Invalid sort column specified.");
}
<br>
    $allowedOrder = array('asc', 'desc');
if (!in_array($order, $allowedOrder)) {
throw new Exception("Invalid sort order specified.");
}
<br>
    $dbh = new PDO("mysql:host=localhost;dbname=my_database", "username", "password");
$sth = $dbh->prepare("SELECT * FROM products ORDER BY $sort $order LIMIT :start, 20");
$sth->bindValue(':start', ($page - 1) * 20, PDO::PARAM_INT); // 使用bindValue綁定參數
$sth->execute();
return $sth->fetchAll(PDO::FETCH_ASSOC);
}

在這個樣例中，我們首先將$page參數轉換為整數類型，并確保它大于等于1。然后，我們根據$sort和$order參數的值，驗證它們是否包含在我們設定的允許列表中。最后，我們使用PDO的bindValue方法，將$start參數與SQL查詢綁定起來，以保證它不會受到SQL注入攻擊。
總之，在使用PHP Query Params時，安全是至關重要的。您需要確保您的代碼具有輸入驗證和SQL注入預防功能，以保護您的應用程序和數據不受到惡意用戶的攻擊。