SQL 注入是一類危害極大的攻擊形式。雖然危害很大，但是防御卻遠(yuǎn)遠(yuǎn)沒有XSS那么困難。

SQL 注入可以參見：https://en.wikipedia.org/wiki/SQL_injection

SQL 注入漏洞存在的原因，就是拼接 SQL 參數(shù)。也就是將用于輸入的查詢參數(shù)，直接拼接在 SQL 語句中，導(dǎo)致了SQL 注入漏洞。

1. 演示下經(jīng)典的SQL注入

我們看到：select id,no from user where id=2;

如果該語句是通過sql字符串拼接得到的，比如： String sql = "select id,no from user wheretext-align: center">

我們看到通過 sql 注入能夠直接將表 sqlinject 刪除掉！可見其危害！

2. sql 注入的原因

sql注入的原因，表面上說是因?yàn)?拼接字符串，構(gòu)成sql語句，沒有使用 sql語句預(yù)編譯，綁定變量。

但是更深層次的原因是，將用戶輸入的字符串，當(dāng)成了 “sql語句” 來執(zhí)行。

比如上面的 String sql = "select id,no from user wherejb51code"> String sql = "select id, no from user where id=?";PreparedStatement ps = conn.prepareStatement(sql);ps.setInt(1, id);ps.executeQuery();

如上所示，就是典型的采用 sql語句預(yù)編譯和綁定變量 。為什么這樣就可以防止sql 注入呢？

其原因就是：采用了PreparedStatement，就會將sql語句："select id, no from user where id=?" 預(yù)先編譯好，也就是SQL引擎會預(yù)先進(jìn)行語法分析，產(chǎn)生語法樹，生成執(zhí)行計(jì)劃，也就是說，后面你輸入的參數(shù)，無論你輸入的是什么，都不會影響該sql語句的語法結(jié)構(gòu)了，因?yàn)檎Z法分析已經(jīng)完成了，而語法分析主要是分析sql命令，比如 select ,from ,where ,and, or ,order by 等等。所以即使你后面輸入了這些sql命令，也不會被當(dāng)成sql命令來執(zhí)行了，因?yàn)檫@些sql命令的執(zhí)行， 必須先的通過語法分析，生成執(zhí)行計(jì)劃，既然語法分析已經(jīng)完成，已經(jīng)預(yù)編譯過了，那么后面輸入的參數(shù)，是絕對不可能作為sql命令來執(zhí)行的，只會被當(dāng)做字符串字面值參數(shù)。所以sql語句預(yù)編譯可以防御sql注入。

2> 但是不是所有場景都能夠采用 sql語句預(yù)編譯，有一些場景必須的采用 字符串拼接的方式，此時，我們嚴(yán)格檢查參數(shù)的數(shù)據(jù)類型，還有可以使用一些安全函數(shù)，來方式sql注入。

比如 String sql = "select id,no from user wherejb51code"> MySQLCodec codec = new MySQLCodec(Mode.STANDARD);name = ESAPI.encoder().encodeForSQL(codec, name);String sql = "select id,no from user wherecolor: #ff0000">ESAPI.encoder().encodeForSQL(codec, name)
該函數(shù)會將 name 中包含的一些特殊字符進(jìn)行編碼，這樣 sql 引擎就不會將name中的字符串當(dāng)成sql命令來進(jìn)行語法分析了。

注：

實(shí)際項(xiàng)目中，一般我們都是采用各種的框架，比如ibatis, hibernate,mybatis等等。他們一般也默認(rèn)就是sql預(yù)編譯的。對于ibatis/mybatis，如果使用的是 #{name}形式的，那么就是sql預(yù)編譯，使用 ${name} 就不是sql預(yù)編譯的。

以上就是SQL注入防御方法總結(jié)，希望對大家之后的學(xué)習(xí)有所幫助。