08、如何预防SQL注入

目录

1、分析及其存在哪些危险

2、预防SQL注入

---

1、分析及其存在哪些危险

• 原理：

  • SQL 注入是一种常见的网络攻击手段，攻击者通过在用户输入中插入恶意的 SQL 语句，利用程序对用户输入处理不当的漏洞，使恶意 SQL 语句被数据库服务器执行。

  • 通常发生在应用程序将用户输入直接拼接到 SQL 语句中，而没有进行适当的过滤或转义的情况下。例如：

-- 正常的查询语句
SELECT * FROM users WHERE username = 'admin' AND password = '123456';
-- 注入后的查询语句
SELECT * FROM users WHERE username = 'admin' AND password = '' OR 1=1

• 在上述注入后的语句中，攻击者在密码输入中添加 ' OR 1=1; --，使得 OR 1=1 这个条件始终为真，而 -- 后面的内容被视为 SQL 注释，导致登录验证被绕过。

• 常见场景：

  • 登录页面：用户输入用户名和密码进行登录，如果输入没有被正确处理，攻击者可以绕过登录验证。

  • 搜索功能：在搜