SQL 注入

sql注入是一种将sql代码添加到输入参数中，传递到sql服务器解析并执行的一种攻击手法。

前端输入参数未经过滤，然后拼接到sql语句进行查询，达到意想之外的行为。传到后台并执行代码。这种就称之为sql注入攻击。

 sql攻击有三种，向后台传输数据有三种方法：get, post, http
  1、通过构造特殊字符，使后台报错。通过信息我们可以找到是否可以进行sql攻击。
   数字注入：select * from k_aticle where id = 1  or 1 = 1 ;
   字符注入：   sql 两种注释 #     -- 。

select * from k_user where user_name = 'zhangsan' and password = '383d32a234ld32l222222233'

注入后
    1、：select * from k_user where user_name = 'zhangsan'#' and password = '383d32a234ld32l222222233'
    2、 select * from k_user where user_name = 'zhangsan' -- ' and password = '383d32a234ld32l222222233'
以上的密码不管是什么。只要用户名存在，就可以登录成功。

防注入方法：

    1.后台逻辑对数字进行校验。

    2. 对字符串进行相应的校验(正则表达式校验)，是否有特殊字符，只允许包含字母数字下划线等。 

    3.(使用类库中方法) 对特殊字符进行转义。