防御SQL注入的方法总结

这篇文章主要讲解了防御SQL注入的方法，介绍了什么是注入，注入的原因是什么，以及如何防御,需要的朋友可以参考下

 

SQL 注入是一类危害极大的攻击形式。虽然危害很大，但是防御却远远没有XSS那么困难。

SQL 注入可以参见：https://en.wikipedia.org/wiki/SQL_injection

SQL 注入漏洞存在的原因，就是拼接 SQL 参数。也就是将用于输入的查询参数，直接拼接在 SQL 语句中，导致了SQL 注入漏洞。

1. 演示下经典的SQL注入

我们看到：select id,no from user where id=2;

如果该语句是通过sql字符串拼接得到的，比如： String sql = "select id,no from user where id=" + id;

其中的 id 是一个用户输入的参数，那么，如果用户输入的是 2， 那么上面看到查到了一条数据，如果用户输入的是 2 or 1=1 进行sql注入攻击,

那么看到，上面的语句(select id,no from user where id=2 or 1=1;)将user表中的所有记录都查出来了。

这就是典型的sql注入。

再看一列：

我们看到通过 sql 注入能够直接将表 sqlinject 删除掉！可见其危害！