如何預防sql注入？
1. 嚴格限制web應用的資料庫的操作許可權，給此使用者提供僅僅能滿足其工作的最低許可權， 從而最大限度的減少注入攻擊對資料庫的危害
2. 檢查輸入的資料是否具有所期望的資料格式，嚴格限制變數的型別，例如使用regexp
包進行一些匹配處理，或者使用strconv包對字串轉化成其它基本型別的資料進行判 斷
3. 對進入資料庫的特殊字元（'」\尖括號&*;等）進行轉義處理，或編碼轉換
4. 所有的查詢語句建議使用資料庫提供的引數化查詢介面，引數化的語句使用引數而不是 將使用者輸入變數嵌入到sql語句中，即不要直接拼接sql語句。例如使用database/sql 裡面的查詢函式prepare和query，或者exec(query string, args ...inte***ce{} )
5. 在應用發布之前建議使用專業的sql注入檢測工具進行檢測，以及時修補被發現的sql 注入漏洞。網上有好多這方面的開源工具，例如sqlmap、sqlninja等
6. 避免**列印出sql錯誤資訊，比如型別錯誤、欄位不匹配等，把**裡的sql語句 暴露出來，以防止攻擊者利用這些錯誤資訊進行sql注入
資料庫內部處理：如何解析sql語句並如何生成執行計畫？
1. 解析
step1： 檢查共享池中是否有之前解析相同的sql語句所儲存的sql文字，解析樹和 執行計畫。如果能找到對應的執行計畫，直接從快取中得到之前所產生的執行 計畫。從而跳轉到（2. 引數繫結）或（3. 執行）
step2： 語法分析，判斷是否符合規範
step3： 檢查語句涉及的資料庫物件是否存在，且使用者是否具有許可權
step4： 檢視轉換和表示式轉換
step5： 決定最佳執行計畫
step6： 將sql文字，解析樹，執行計畫快取
2. 引數繫結
如果sql語句使用了繫結變數，給繫結變數賦值，將該變數值帶入執行計畫
3. 執行
4. 返回結果
預編譯方式的過程：
1. 將含有佔位符的sql語句傳送給資料庫管理系統
2. 資料庫管理系統解析，編譯，優化，將最終的執行結果快取
3. 引數繫結
4. 執行
5. 返回結果
優點：
1. 一次編譯，多次執行（每次與資料庫互動時，執行語句相同，只是引數繫結不同）
2. 防止sql注入（繫結的引數僅僅作為引數處理，不會成為mysql執行語句）
3. 預編譯sql操作意味著資料庫系統不用再進行分析，直接從快取中取出執行計畫執行即 可，提高效率
不採用預編譯與採用預編譯兩種方式區別：
不採用預編譯：將sql拼裝起來傳送給資料庫,只互動一次
採用預編譯：第一次互動先將sql語句預編譯,第二次互動是在sql語句執行時傳送繫結引數
防sql注入整體思路：
使用正規表示式對常見sql注入檢測+過濾sql關鍵字+引數轉義+預編譯1.
常見sql注入檢測+過濾sql關鍵字+引數轉義（結合mysql原始碼mysql_escape_string函式）編寫主要**：
2. 本地測試引數繫結（預編譯）的方式是否能防止sql注入
（2）本地測試主要**：
（3）字串拼接的方式測試結果：列印所有資料，存在sql注入問題
（4）使用佔位符測試結果：未查找到任何記錄，防止sql注入
測試結果：
使用佔位符（引數繫結，預編譯）的方式運算元據庫，繫結的引數僅僅作為引數處理，不會成為mysql執行語句，能夠防止sql注入
防SQL注入
這段 有好處也有壞處，用的時候得小心，搞不好就會跳進錯誤 dimsql injdata sql injdata and exec insert select delete update chr mid master truncate char declare sql inj split sql in...
防SQL注入
1.必須認定使用者輸入的資料都是不安全的 使用者輸入的資料進行過濾處理 if preg match w get username matches else 讓我們看下在沒有過濾特殊字元時，出現的sql情況 設定 name 中插入了我們不需要的sql語句 name qadir delete from ...
防SQL注入
與資料庫互動的 web 應用程式中最嚴重的風險之一 sql 注入攻擊。sql 注入是應用程式開發人員未預期的把 sql 傳入到應用程式的過程，它由於應用程式的糟糕設計而使攻擊成為可能，並且只有那些直接使用使用者提供的值構建 sql 語句的應用程式才會受影響。sql 語句通過字串的構造技術動態建立，文...