Sql注入——简介

Sql注入——简介

所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

我们永远不要信任用户的输入，我们必须认定用户输入的数据都是不安全的，我们都需要对用户输入的数据进行过滤处理。

sql注入主要是通过对单引号进行转义来完成：

// 设定$name 中插入了我们不需要的SQL语句
$name = "Qadir'; DELETE FROM users;";
查询语句："SELECT * FROM users WHERE name='{$name}'";

将$name加入到查询语句中：

"SELECT * FROM users WHERE name='Qadir'; DELETE FROM users;'"

执行完后，相当于将sql语句屏蔽掉，且又加上了额外的恶意sql。