预编译为什么能防止SQL注入？一看你就明白了。预编译原理详解_预编译防止sql注入

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

从注入的过程中我们可以发现，SQL注入的核心是：用户输入的参数改变了SQL的语法结构。

而预编译，可以防止语法结构被改变。在讲预编译之前，我们得先了解下SQL的执行过程。

1、SQL执行过程

以MySQL为例，数据库在执行SQL语句时，需要经历7个步骤：

1. 词法分析：将SQL语句分解成一个个token（关键字、标识符、运算符），然后对token进行分类和解析，生成相应的数据结构。
2. 语法分析：根据SQL语法检测规则检查语法是否正确，并成成语法树。
3. 语义分析：遍历语法树，确定表和列等信息，同时检查语义的正确性。
4. 优化处理：使用优化器对SQL语句进行处理和优化，比如执行计划、索引等。
5. 执行计划：使用执行计划生成器生成SQL语句的执行计划，比如数据的访问方式，索引的使用方式等。
6. 引擎执行：将执行计划发送给相应的数据库引擎进行处理，执行计划被翻译成底层的操作指令，执行数据扫描、索引查找、排序、分组等操作。
7. 返回数据：将执行结果返回给客户端，比如查询结果集或操作结果。

在这里，我们粗暴的把执行过程理解成两步，即：先编译SQL语法结构（1~3步），再执行SQL语句（4~7步）。

正常情况下，用户输入的参数会直接参与SQL语法的编译，而预编译则是先构建语法树，确定SQL语法结构以后，再拼接用户的参数。

2、预编译原理

预编译最初的目的是提高代码的复用性，因为有很多只有参数值不同的SQL（完全相同的SQL会从缓存里查），比如：

select \* from user where id='1'

select \* from user where id='2'

这些SQL的语法树相同，但每次都要进行重复的编译，很浪费时间。

而预编译可以将SQL语句模板化，值的位置用占位符替代，这样数据库就会事先编译好SQL语法结构，等真正调用的时候，再传入值执行，省掉了重复建立语法树的时间。

select \* from user where id={占位符}

通过抓包来看，SQL语句先被预编译（Prepare Statement），参数值先用占位符替代。等执行（Execute Statement）的时候，再传入参数。

用户传入的参数不参与语法树的构建，就改不了SQL的语法结构，也就避免了注入。

扩展：

PHP的PDO（PHP Data Object）是操作多种数据库的统一接口，提供了两种预编译机制：本地预编译和模拟预编译。
本地预编译是指数据库自身进行预编译，也是我们这里提到的预编译方式。
模拟预编译则用于那些不支持预编译的数据库，本质上是在底层先对用户的输入进行转译，再对SQL语句进行拼接，然后把完整的SQL语句发给数据库执行。
转译后的参数只会当做字符串处理，无法参与SQL的编译（在PHP 5.3.6前，使用单字节字符集转译，存在单字节注入）正确设置字符集，也可以防止SQL注入。

3、预编译防止SQL注入

以 MyBatis（半自动化的持久层框架）为例，#{id}这种格式传参，会先把SQL传给数据库进行预编译，等调用的时候，再用参数替换掉占位符，然后执行。

<select id="getUser" resultType="Blog" parameterType=”int”>
         SELECT \*
         FROM user
		 WHERE id=#{id}
</select>

但有些SQL需要使用动态表名和列名，这种时候就不能使用预编译了，需要把#{id}换成${id}，这样参数就会直接参与SQL编译，无法防止SQL注入，这时候就要手动过滤参数了。

提示：MyBatis框架的预编译，是JDBC中的PreparedStatement类在起作用，它的对象包含了编译好的SQL语句。

PHP中使用MySQL的预编译功能：

1）定义预编译的SQL语句，参数用占位符 ? 表示

$sql = "SELECT \* FROM user WHERE id= ? ";

2）创建预处理对象

$mysqli\_stmt = $mysqli->prepare($sql);

3）绑定参数

$mysqli\_stmt->bind\_param('i', $id);

4）绑定结果集

## 学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/7a04c5d629f1415a9e35662316578e07.png#pic_center)





**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
![img](https://img-blog.csdnimg.cn/img_convert/99ce07bb1acc02657d1328a888194636.png)

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
[外链图片转存中...(img-AfCQlpaC-1713666518112)]

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**