防止SQL注入以及mysqli的预处理

当应用程序使用输入内容来构造SQL语句访问数据库时，会发生SQL注入攻击。下面就来介绍一下防止SQL注入的方法。
1.对用户的输入进行验证，可以通过正则表达式，或者限制长度，对单引号等进行转换。
2.永远不要使用动态拼装SQL。可以使用参数化的SQL或者直接使用存储过程进行数据查询和存储
例：insert into user(name,password,email) values(?,?,?)
3.永远不要使用管理权限连接数据库，为每个应用使用单独的权限，有限的连接数据库
4.不要把机密信息直接存放，加密或者hash掉密码和用户的敏感信息
5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
6.检测SQL注入的方法一般采用辅助软件或网站平台来检测。

mysqli的预处理
在mysqli操作中常常会涉及到他的三个类：mysqli类，mysql_stmt类，mysqli_result类。预处理主要是利用mysql_stmt类完成。预处理是一种重要的防止SQL注入的手段。
工作原理

• 创建SQL语句模板并发送到数据库，预留的值使用参数？标记
  -insert into user(name,password,email) values(?,?,?)

• 数据库解析，编译，对SQL语句模板执行查询优化，并储存过程不输出

• 将应用绑定的值传递给参数？，数据库执行语句

• bind_param()//该函数绑定了SQL的参数，且告诉数据库参数的值 i--integer s--string d--double b--blob 每个参数都必须指定类型