sql注入原理、分类、预防

原理：
sql注入是因为后台SQL语句拼接了用户输入的恶意数据，而web应用没有对输入的数据合法性进行判断和过滤。攻击者可以通过构造不同SQL语句来实现对数据库的任意操控，例如进行增删改查等操作。
分类：
一、可分为平台层注入，也就是由不安全的数据库配置或者数据平台的漏洞所导致，例如Mysql有些版本是存在版本漏洞可以利用的。代码层注入主要是由于开发者对输入信息未进行严格的过滤处理导致的。
二、依据注入点类型分类
数字类型的注入
字符串类型的注入
搜索型注入
三、详细点可分为：
盲注
宽字节注入
二次注入
文件读写注入
堆叠注入
dns回显注入
联合查询注入
报错注入
时间按注入
等等
SQL注入的预防
（1）预编译（PreparedStatement)
原理：sql注入只sql语句的编译过程有破坏作用，而PreparedStatement已经预编译好了，执行阶段只是把输入串作为数据处理。而不再对SQL语句进行解析。
（2）使用正则表达式过滤
通过正则表达式对危险字符串进行过滤，也就是基于黑名单的方法来过滤。这种方式虽然会过滤掉已经禁用的字符串，但黑客还是想尽办法进行绕过，还是存在绕过风险。
（3）使用web应用防火墙。
（4）将web应用中与数据库交互的用户和数据库管理员严格分离，不允许其拥有写、删的权限。