甚么是SQL注入

SQL注入是一种常见的网络攻击方式，攻击者利用输入表单等位置上的漏洞，将他们能够履行的SQL指令注入到服务器上，从而到达破坏数据库、篡改数据、乃至控制全部利用程序的目的。

如何避免SQL注入

以下是几种防范SQL注入的方法：

1. 使用参数化查询，而不是拼接SQL语句。参数化查询是一种预编译的机制，使用参数化查询可以免SQL指令被拼接。拼接SQL语句的方式是最容易遭到SQL注入攻击的。
2. 过滤和验证所有的输入。过滤和验证用户输入是一种提高利用程序安全的基本方式。可使用正则表达式、过滤函数等方式去掉或修复一些问题输入。可以限制用户只输入特定的字符集或输入的长度。
3. 使用ORM框架。ORM框架可以自动生成查询语句，避免手写SQL语句而带来的风险。ORM框架的另外一大特点是，它会自动对输入参数进行绑定，从而避免SQL注入攻击。

其他重视细节的操作

除以上提到的方法以外，其他重视细节的操作也会提高利用程序的安全性。

1. 减少数据库权限，使用最小的权限原则可以限制攻击者酿成的破坏。只给予用户最少的权限，以保证利用程序的安全。
2. 制止利用程序显示具体的毛病信息。在利用程序出错的时候，不要将具体的毛病信息暴露给攻击者。尽量告知用户产生了毛病，但要留下具体的信息，有助于攻击者了解系统的架构。
3. 加密存储敏感信息。在SQL注入攻击中，如果数据库里面存储了明文密码等敏感信息，攻击者可以轻而易举地取得这些信息。使用加密等方式存储敏感信息，可以有效地避免此类攻击。

桂@哥@网@络www.guIgegE.cn