sql防注入步驟：
1.什麼是sql注入？我理解的sql注入就是一些人可以通過惡意的引數輸入，讓後台執行這段sql，然後達到獲取資料或者破壞資料庫的目的！舉個簡單的查詢例子，後台sql是拼接的：select * from test where name='+引數傳遞+'；前台jsp頁面要求輸入name，那麼黑客可以輸入： ';drop tablespace test including contents and datafiles;-- 不要小瞧這一段sql**：
select * from test where name=' ';drop tablespace test including contents and datafiles;--』；在pl/sql中是正確的，可執行的，但是執行後整個表空間都刪除了，**崩潰！
2.最簡單最容易的是限制使用者輸入。簡單點的就是不允許使用者輸入單引號 和 --，因為單引號號--在sql中都是影響執行的，兩種方式一種是在jsp中加判斷：
3.另一種是在sql拼接是對單引號和--等進行轉義，str = str.replace("'", "''");
4.以上的方法都是為了防注入而不讓使用者輸入，是一種比較被動的方法，有很大的缺陷，最常見的就是使用者獲取到url，修改url中的引數然後達到sql注入的目的。例如：proctypeid=dcwork_edoc_send 可以改為proctypeid=dcwork_edoc_send'--
5.最好的辦法就是不寫拼接sql，改用引數化sql。我用的是oracle資料庫，只介紹一下oracle資料庫的寫法
6.sql引數都用？替換，然後建立兩個陣列，存放引數型別和引數值，執行查詢的時候，將sql、引數型別陣列、引數值三個引數傳過去，執行查詢。
7.改為引數化sql後再輸入單引號進行查詢，單引號就被當作引數，而不是特殊字元，執行不會報錯：
防注入的解決辦法 引用
我剛為一台伺服器處理了這種情況，區別只是被插人的js位址不一樣而已 說說我的做法 恢復資料庫這些廢話不說 補救措施有 1 修補 注入漏洞 過濾字元不是根本方法 select updata insert 這些是必須遮蔽的 百密一疏在所難免，好方法是把拼湊的sql語句全部改為引數化 所謂引數化，例如 s...
防止SQL注入解決辦法
sql注入是我們在程式開發過程中經常要注意的問題，屬於發生於應用程式之資料庫層的安全漏洞，通過構建特殊的輸入作為引數傳入web應用程式，而這些輸入大都是sql語法裡的一些組合，通過執行sql語句進而執行攻擊者所要的操作，其主要原因是程式沒有細緻地過濾使用者輸入的資料，致使非法資料侵入系統。簡而言之，...
繞過MSSQL防注入的一些解決辦法
在工作中還是其他時候都時常遇見一些 加了防注入 這確實讓人頭痛不已，不過另乙個方面讓我終於又有了乙個新的可以深入琢磨的課題，同時也看見了前輩們提供的很多繞過防注入方法，都著實讓我受益匪淺。把思路集中一下，具有列出以下的幾點 1.編碼處理 2.語句變換 3.其他 對這幾點還是做一些簡要的說明吧！編碼處...