[MySQL] 防止web项目中的SQL注入

• 一、SQL注入简介
  
• 二、SQL注入攻击的总体思路
  
• 三、SQL注入攻击实例
  
• 四、如何防御SQL注入
  
  
  
  • 1、检查变量数据类型和格式
    
  • 2、过滤特殊符号
    
  • 3、绑定变量，使用预编译语句
    
  
  
• 小结：
  

• 1.寻找到SQL注入的位置
  
• 2.判断服务器类型和后台数据库类型
  
• 3.针对不同的服务器和数据库特点进行SQL注入攻击
  

String sql = "select * from user_table where username=
' "+userName+" ' and password=' "+password+" '";
 
当输入了上面的用户名和密码，上面的SQL语句变成：
SELECT * FROM user_table WHERE username=
''or 1 = 1 -- and password=''
 
"""
分析SQL语句：
条件后面username=”or 1=1 用户名等于 ” 或1=1 那么这个条件一定会成功；
 
然后后面加两个-，这意味着注释，它将后面的语句注释，让他们不起作用，这样语句永远都能正确执行，用户轻易骗过系统，获取合法身份。
这还是比较温柔的，如果是执行
SELECT * FROM user_table WHERE
username='' ;DROP DATABASE (DB Name) --' and password=''
其后果可想而知…
"""

注意：但凡有SQL注入漏洞的程序，都是因为程序要接受来自客户端用户输入的变量或URL传递的参数，并且这个变量或参数是组成SQL语句的一部分，
对于用户输入的内容或传递的参数，我们应该要时刻保持警惕，这是安全领域里的「外部数据不可信任」的原则，纵观Web安全领域的各种攻击方式，
大多数都是因为开发者违反了这个原则而导致的，所以自然能想到的，就是从变量的检测、过滤、验证下手，确保变量是开发者所预想的。

• 1.使用预编译绑定变量的SQL语句
  
• 2.严格加密处理用户的机密信息
  
• 3.不要随意开启生产环境中Webserver的错误显示
  
• 4.使用正则表达式过滤传入的参数
  
• 5.字符串过滤
  
• 6.检查是否包函非法字符