防止sql注入之美

所謂sql注入，就是通過輸入請求，把sql命令插入到sql語句中，以達到欺騙伺服器執行惡意sql命令的目的。假設服務端要獲取玩家資料，可能使用如下的sql語句。

string sql="select *from player where id="+id;

正常情況下該語句能夠完成讀取資料的工作。但如果一名惡意玩家註冊了類似"haomei";delete *from player;"的名字，這條sql語句將變成下面兩條語句。

select *from player where id = haomei;delete *from player;

執行這樣的sql語句後，player表裡面的資料都被刪除了，後果不堪設想。如果把含有分號，逗號等特殊字元的字串判斷為不安全字串，在拼裝sql語句前，對使用者輸入的字串進行安全性檢查，就可以有效防止sql注入。使用正規表示式編寫判定安全字串的方法issafestr，它將把含有「 -;,\/()}

1.什麼是sql注入所謂sql注入，就是通過把sql命令插入到web表單遞交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的sql命令。通過遞交引數構造巧妙的sql語句，從而成功獲取想要的資料。2.sql注入的種類從具體而言，sql注入可分為五大類，分別是數字型注入字元型注入...

最近看到很多人的都被注入js,被iframe之類的。非常多。本人曾接手過乙個比較大的被人家入侵了，要我收拾殘局。1.首先我會檢查一下伺服器配置，重新配置一次伺服器安全，可以參考 2.其次，用麥咖啡自定義策略，即使程式有漏洞，別人也很難在檔案上寫入了。參考自定義策略，有了這個策略，再爛的程式，...

防不勝防可以肯定的說，過濾不是辦法，而且效率很低過濾的目的主要是提供反饋資訊，必須前後臺都要做但是，有很多辦法可以繞過致命的單引號能做的事情按重要性大致如下 1。資料庫訪問用預定義會話 preparedstatement 從根本上防止sql截斷 2。後台過濾為輸入的資訊提供反饋資訊，只要...