避免Sql注入

参数化查询（也称为预编译语句或绑定变量查询）是一种设计用于防止SQL注入的有效机制。其工作原理主要基于以下几点：

 

1. **分离SQL语句和数据**：

   在参数化查询中，SQL语句和实际的数据值是分离的。这意味着你可以在SQL语句中预留参数位置，而这些位置不会被解释为SQL代码的一部分。当执行查询时，数据库引擎知道哪些部分是固定的SQL语句，哪些部分是需要被数据值替换的占位符。

 

2. **预编译和参数绑定**：

   数据库引擎首先解析并编译SQL语句，但并不立即执行。它等待参数值的绑定。这意味着即使参数中包含了SQL关键词或特殊字符，它们也不会被解析器误认为是SQL指令的一部分。

 

3. **类型安全**：

   参数化查询通常要求指定参数的类型，这有助于数据库引擎正确地处理和格式化输入值。例如，如果参数是一个整数，那么任何非整数值都将被转换或拒绝，从而防止了注入企图。

 

4. **避免特殊字符的影响**：

   由于参数是在SQL语句编译之后才被插入的，所以特殊字符（如单引号、双引号、分号等）不会被解释为SQL语法的一部分，而是作为数据值的一部分处理。

 

5. **减少执行计划的重复创建**：

   当SQL语句被预编译时，数据库可以缓存这个执行计划，当同样的SQL语句再次执行时，只需要重新绑定参数值，而无需重新解析和优化SQL语句，提高了性能。

 

下面是一个使用参数化查询的例子（以PHP为例）：

 

```php

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");

$stmt->execute([':username' => $userInput]);

$user = $stmt->fetch();

```

 

在这个例子中，`:username` 是一个参数占位符，`$userInput` 是从用户处获取的输入。当执行查询时，`:username` 将被 `$userInput` 的值所替换，但 `$userInput` 中的任何特殊字符都不会影响查询的结构。

 

通过这种方式，参数化查询确保了用户提供的数据不能改变原始SQL语句的意图，从而有效地抵御了SQL注入攻击。