Question

如何从根本上防止 SQL 注入

Answer 1

也许可以这样回答你，如果能保证应用不使用“用户输入的字符串”来拼接成为 “向SQL 服务器发送的SQL执行字符串” 的话，就可以从根本上防止SQL注入。

一、SQL语言的机理：
1、当前主流的几大数据库服务器的数据存、取、汇总控制，都使用一种文本语句“SQL”语句。
2、当客户端需要数据，或需要发送数据，或需要汇总数据时，都可以向数据库发送这种标准的描述性文本，比如向数据库发送 “select * from bas1.dbo.tab1”就是告诉数据库，我要取“数据库bas1”中的“tab1”表中的 所有字段（用“*”通配来代表）的所有记录（因为没有加限制条件）。

二、产生SQL注入的基础：
1、如果客户端设计者没有关注SQL注入方面的问题，就有可能在将用户输入进行拼接成SQL语句，并发送到服务器端时，产生恶意的SQL可执行语句。
2、举例说明：某个网页上有个修改用户密码口令的功能，正常情况下下，用户输入原口令，与将要改成的口令，然后对用户进行修改。用户正常情况下输入简单的字串作为口令，比如“abcdef”，最终，合成向服务器发送的语句可能为：
update UserTab set password = 'abcdef' where id=222

3、然而，有个人很淘气，它输入的字串为

abcdef' --
那么，合成的发送给服务器的语句就成了：
update UserTab set password = 'abcdef' --‘ where id=222
这条句语一但发向服务器，其结果是，所有的人的密码都将变成 abcdef。
4、当然了，上面只是举了一个例子，以便于你理解什么是SQL注入。
（绝大多数应用的口令字串都是要进行加密的，所以，这个例子起仅在：
初级用户写的，明文存密码，没有注意SQL注入。这些条件合适时才起作用。）
5、同理，你可以想出很多的相关的东西，比如在修改用户姓名的地方……

三、防止SQL注入的一些办法：
1、客户端接收到用户输入后，进行一次核查，不让用户输入能产生SQL歧义的字符。比如禁止使用任何英文符号作为密码、姓名等等。
2、尽可能减少用户的直接字符的输入，通配查询，等。