MySQL编码转换防止SQL注入_防止SQL注入和XSS注入的方法总结

1、在OpenResty中添加naxsi加强防御

https://github.com/nbs-system/naxsi

安装方法

https://www.cnblogs.com/kgdxpr/p/9841456.html

2、防止SQl注入的思路和方法

1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双"-"进行转换等。

2.永远不要使用动态拼装SQL，可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。

3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。

5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装

6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等

MySQL安全问题(防范必知)

3、在绝大多数位置，加上代码级判断，多重拦截攻击

package SQL_inject

import "regexp"

// 正则过滤sql注入的方法

// 参数 : 要匹配的语句

func FilteredSQLInject(to_match_str string) bool {

//过滤 ‘

//ORACLE 注解 -- /**/

//关键字过滤 update ,delete

// 正则的字符串, 不能用 " " 因为" "里面的内容会转义

str := `(?:')|(?:--)|(/\\*(?:.|[\\n\\r])*?\\*/)|(\b(select|update|and|or|delete|insert|trancate|char|chr|into|substr|ascii|declare|exec|count|master|into|drop|execute)\b)`

re, err := regexp.Compile(str)

if err != nil {

panic(err.Error())

return false

}

return re.MatchString(to_match_str)

}

4、防止xss攻击

5、两台(或多台)主机之间，采用防火墙白名单IP互通，对外只提供80端口，防止端口攻击

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="172.16.110.55" accept"

#重新载入

firewall-cmd --reload

一旦出现SQL注入，一切都是零！谁的代码不按要求进行开发防注入，就处罚谁，而且要狠狠处罚，按月薪一半进行处罚，切切！