如何防止sql注入

一：什么是sql注入？
SQL注入就是利用现有应用程序，将（恶意）的sql命令注入到后台数据库引擎执行的能力。
二：SQL注入攻击过程分为五个步骤
第一步：判断WEB环境是否可以sql注入
第二步：寻找SQL注入点
第三步：猜解用户名和密码
第四步：寻找WEB管理后台入口
第五步：入侵和破坏
三：什么时候最易收到sql注入的攻击
当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击。

$sql="select * from `user` where user='$user' and pwd='$pwd'";

四：如何防止SQL注入
1.永远不要信任用户的输入，对用户的输入进行校验，可以通过正则表达式，或者限制长度

$user=htmlspecialchars(addslashes(trim($user)));
$pwd=htmlspecialchars(addslashes(trim($pwd)));

2.永远不要使用动态拼装SQL可以使用参数化的sql或者直接进行使用存储过程进行数据查询存储
3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接
4.不要把机密信息直接存放，加密或者hash掉密码
5.应用的异常信息应该给出极可能少的提示
五：预处理是一种重要的防止sql注入的手段，对提高网站安全性有重要意义。
预处理语句的工作原理：
1.创建sql语句模板并发送到数据库，预留的值使用参数“？”标记
2.数据库解析，编译，对sql语句模板执行查询优化，并存储结果不输出
3.执行，将应用绑定的值传递给参数，数据库执行语句

//SQL语句
$sql="select * from `user` where user=? and pwd=?";
//预处理
if($stmt=$conn->prepare($sql)){
       //绑定参数的值，s代表string
	$stmt->bind_param("ss",$user,$pwd);
	$stmt->execute();//执行预处理语句
	$stmt->store_result();//获取结果集
	if($stmt->num_rows==0){
		show_error('输入正确的用户名或者密码','login.html');
	}
	$stmt->close();
}
$conn->close();//关闭数据库