2020 nginx防注入防渗透xss_常见web安全问题，SQL注入、XSS、CSRF，基本原理以及如何防御...

1.SQL注入

原理:

1).SQL命令可查询、插入、更新、删除等，命令的串接。而以分号字元为不同命 令的区别。（原本的作用是用于SubQuery或作为查询、插入、更新、删除……等 的条件式）

2).SQL命令对于传入的字符串参数是用单引号字元所包起来。（但连续2个单引 号字元，在SQL资料库中，则视为字串中的一个单引号字元）

3).SQL命令中，可以注入注解

预防:

1).在设计应用程序时，完全使用参数化查询（Parameterized Query）来设计数据 访问功能。

2).在组合SQL字符串时，先针对所传入的参数作字元取代（将单引号字元取代为 连续个单引号字元）。

3).如果使用PHP开发网页程序的话，亦可打开PHP的魔术引号（Magic quote）功 能（自动将所有的网页传入参数，将单引号字元取代为连续2个单引号字元）。

4).其他，使用其他更安全的方式连接SQL数据库。例如已修正过SQL注入问题的 数据库

5).连接组件，例如http://ASP.NET的SqlDataSource对象或是 LINQ to SQL。

使用SQL防注入系统。

2. XSS攻击

原理:

xss攻击可以分成两种类型：