sql 注入是一类危害极大的攻击形式。虽然危害很大，但是防御却远远没有XSS那么困难。
sql 注入可以参见：sql_injection">https://en.wikipedia.org/wiki/sql_injection
sql 注入漏洞存在的原因，就是拼接 sql 参数。也就是将用于输入的查询参数，直接拼接在 sql 语句中，导致了sql 注入漏洞。
1. 演示下经典的sql注入
我们看到：select id,no from user where id=2;
如果该语句是通过sql字符串拼接得到的，比如： String sql = "select id,no from user where id=" + id;
其中的 id 是一个用户输入的参数，那么，如果用户输入的是 2， 那么上面看到查到了一条数据，如果用户输入的是 2 or 1=1 进行sql注入攻击,
那么看到，上面的语句(select id,no from user where id=2 or 1=1;)将user表中的所有记录都查出来了。
这就是典型的sql注入。
再看一列：
我们看到通过 sql 注入能够直接将表 sqlinject 删除掉！可见其危害！
2. sql 注入的原因
sql注入的原因，表面上说是因为 拼接字符串，构成sql语句，没有使用 sql语句预编译，绑定变量。
但是更深层次的原因是，将用户输入的字符串，当成了 “sql语句” 来执行。
比如上面的 String sql = "select id,no from user where id=" + id;
我们希望用户输入的 id 的值，仅仅作为一个字符串字面值，传入数据库执行，但是当输入了： 2 or 1=1 时，其中的 or 1=1 并没有作为 where id= 的字面值，而是作为了 sql语句 来执行的。所以其本质是将用户的输入的数据，作为了命令来执行。
3. sql注入的防御
1> 基本上大家都知道
采用sql语句预编译和绑定变量，是防御sql注入的最佳方法
。但是其中的深层次原因就不见得都理解了。如上所示，就是典型的采用 sql语句预编译和绑定变量 。为什么这样就可以防止sql 注入呢？
其原因就是：采用了PreparedStatement，就会将sql语句sql引擎会预先进行语法分析，产生语法树，生成执行计划，也就是说，sql语句的语法结构了，因为语法分析已经完成了，而语法分析主要是分析sql命令，比如 select,from,where,and,or,order by 等等。所以即使你后面输入了这些sql命令，也不会被当成sql命令来执行了，sql命令的执行， 必须先的通过语法分析，生成执行计划，既然语法分析已经完成，已经预编译过了，那么后面输入的参数，是绝对不可能作为sql命令来执行的，只会被当做字符串字面值参数
。所以sql语句预编译可以防御sql注入。
2> 但是不是所有场景都能够采用 sql语句预编译，有一些场景必须的采用 字符串拼接的方式，此时，我们严格检查参数的数据类型，还有可以使用一些安全函数，来方式sql注入。
比如 String sql = "select id,no from user where id=" + id;
在接收到用户输入的参数时，我们就严格检查 id，只能是int型。复杂情况可以使用正则表达式来判断。这样也是可以防止sql注入的。
安全函数的使用，比如：
sql(codec,name)
该函数会将 name 中包含的一些特殊字符进行编码，这样 sql 引擎就不会将name中的字符串当成sql命令来进行语法分析了。
注：
实际项目中，一般我们都是采用各种的框架，比如ibatis,hibernate,mybatis等等。他们一般也默认就是sql预编译的。对于ibatis/mybatis，如果使用的是 #{name}形式的，那么就是sql预编译，使用 ${name} 就不是sql预编译的。
以上就是sql注入防御方法总结，希望对大家之后的学习有所帮助。
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。
