什么是sql注入，如何防止sql注入，举例说明

SQL注入（SQL Injection）是一种常见的网络攻击方式，攻击者通过在输入字段中插入恶意的SQL代码，试图操纵后台数据库执行未经授权的操作。SQL注入攻击可以导致数据泄露、数据篡改、甚至完全控制数据库服务器。

SQL注入的工作原理

SQL注入攻击的基本思路是将恶意的SQL代码嵌入到应用程序的输入字段中，使得这些代码在构建SQL查询时被执行。例如，如果一个应用程序通过以下方式查询数据库：

SELECT * FROM users WHERE username = 'user_input' AND password = 'user_password';

如果攻击者在输入字段中输入以下内容：

• user_input: ' OR '1'='1
• user_password: ' OR '1'='1

生成的SQL查询将变成：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '' OR '1'='1';

由于'1'='1'总是为真，这个查询将返回所有用户的记录，可能导致未授权的访问。

防止SQL注入的方法

1. 使用参数化查询（Prepared Statements）：
   参数化查询通过将输入数据与SQL代码分开，防止输入数据被解释为SQL代码。大多数现代编程语言和数据库驱动程序都支持参数化查询。

   例如，在Python中使用sqlite3库：

   import sqlite3
   
   conn = sqlite3.connect('example.db')
   cursor = conn.cursor()
   
   username = input("Enter username: ")
   password = input("Enter password: ")
   
   cursor.execute("SELECT * FROM users WHERE username = ? AND password = ?", (username, password))
   
   results = cursor.fetchall()
   

2. 使用ORM（对象关系映射）框架：
   ORM框架如Django ORM、SQLAlchemy等，通过自动生成SQL查询，减少手写SQL的需求，从而降低SQL注入的风险。

3. 输入验证和清理：
   对用户输入进行严格的验证和清理，确保输入数据符合预期的格式和内容。例如，使用正则表达式检查输入是否包含非法字符。

4. 最小权限原则：
   数据库用户应仅拥有执行必要操作的权限，避免授予过多权限。例如，只允许执行SELECT操作的用户不应拥有DROP或DELETE权限。

5. 使用存储过程：
   存储过程在数据库端执行，参数化输入可以防止SQL注入。

   例如，在MySQL中：

   CREATE PROCEDURE GetUser(IN username VARCHAR(255), IN password VARCHAR(255))
   BEGIN
       SELECT * FROM users WHERE username = username AND password = password;
   END;
   

   然后在应用程序中调用这个存储过程：

   cursor.callproc('GetUser', [username, password])
   

SQL注入示例

假设有一个简单的登录表单：

<form method="post" action="login.php">
    Username: <input type="text" name="username">
    Password: <input type="password" name="password">
    <input type="submit" value="Login">
</form>

在login.php中处理用户输入：

<?php
$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $query);

if (mysqli_num_rows($result) > 0) {
    echo "Login successful!";
} else {
    echo "Invalid username or password.";
}
?>

如果攻击者输入以下内容：

• username: admin' --
• password: anything

生成的SQL查询将变成：

SELECT * FROM users WHERE username = 'admin' --' AND password = 'anything';

由于--注释掉了后面的部分，这个查询将总是返回用户名为admin的记录，导致未授权的登录。

防止SQL注入的改进

使用参数化查询：

<?php
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);

$username = $_POST['username'];
$password = $_POST['password'];

$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    echo "Login successful!";
} else {
    echo "Invalid username or password.";
}
?>

通过使用参数化查询，输入数据不会被解释为SQL代码，从而有效防止SQL注入攻击。