【MyBatis 1】SQL注入，springboot基础教程

数据类型检查，sql执行前，要进行数据类型检查，如果是邮箱，参数就必须是邮箱的格式，如果是日期，就必须是日期格式；

只要是有固定格式的变量，在SQL语句执行前，应该严格按照固定格式去检查，确保变量是我们预想的格式，这样很大程度上可以避免SQL注入攻击。

如果上述例子中id是int型的，效果会怎样呢？无法注入，因为输入注入参数会失败。比如上述中的name字段，我们应该在用户注册的时候，就确定一个用户名规则，比如5-20个字符，只能由大小写字母、数字以及汉字组成，不包含特殊字符。此时我们应该有一个函数来完成统一的用户名检查。不过，仍然有很多场景并不能用到这个方法，比如写博客，评论系统，弹幕系统，必须允许用户可以提交任意形式的字符才行，否则用户体验感太差了。

2、过滤特殊符号

---

3、绑定变量，使用预编译语句

---

五、预编译

=====

（一）预编译是什么

---

1、执行sql一般分为三步：

• 语法和语义解析

• 优化sql语句，制定执行计划

• 执行sql，返回结果

2、PreparedStatement

很多情况下，我们的一条sql语句可能被反复执行，或每次执行的时候只有个别的值不同，比如query的where子句值不同，up