sql注入，是利用web程式的請求，構建特殊的輸入引數，將惡意的sql語句注入到後台資料庫引擎中，最終可以欺騙伺服器執行惡意sql。
1、分級管理（通過許可權，限制使用者行為，禁止給予資料庫建立、刪除、修改等相關許可權）
2、引數傳值（資料輸入不能直接嵌入到查詢語句中。同時要過濾輸入的內容，過濾掉不安全的輸入資料）
3、基礎過濾與二次過濾（危險字元有很多，在獲取提交的引數時，首先要進行基礎過濾，然後根據程式的功能及使用者輸入的可能性進行二次過濾，以確保系統的安全性）
4、使用安全引數（sql資料庫為了有效抑制sql注入攻擊的影響。在進行sqlserver資料庫設計時設定了專門的sql安全引數。在程式編寫時應盡量使用安全引數來杜絕注入式攻擊）
5、漏洞掃瞄（通過掃瞄工具，掃瞄到的安全漏洞，根據不同的情況採取相應的防範措施封堵相應的漏洞，從而把sql注入攻擊的門給關上，從而確保系統的安全。
6、多層驗證（層次相互配合，只有在客戶端和系統端都進行有效的驗證防護，才能更好地防範sql注入攻擊）
7、資料庫資訊加密：(1)對稱加密：、(2)非對稱加密：、(3)不可逆加密：
1.永遠不要信任使用者的輸入。對使用者的輸入進行校驗，可以通過正規表示式，或限制長度；對單引號和 雙"-"進行轉換等。
2.永遠不要使用動態拼裝sql，可以使用引數化的sql或者直接使用儲存過程進行資料查詢訪問。
3.永遠不要使用管理員許可權的資料庫連線，為每個應用使用單獨的許可權有限的資料庫連線。
4.不要把機密資訊直接存放，加密或者hash掉密碼和敏感的資訊。
5.應用的異常資訊應該給出盡可能少的提示，最好使用自定義的錯誤資訊對原始錯誤資訊進行包裝
6.sql注入的檢測方法一般採取輔助軟體或**平台來檢測，軟體一般採用sql注入檢測工具jsky，**平台就有億思**安全平台檢測工具。mdcsoft scan等。採用mdcsoft-ips可以有效的防禦sql注入，xss攻擊等。
1.採用預編譯語句集，它內建了處理sql注入的能力，只要使用它的setstring方法傳值即可：
string sql= "select * from users where username=? and password=?;
preparedstatement prestate = conn.preparestatement(sql);
prestate.setstring(1, username);
prestate.setstring(2, password);
resultset rs = prestate.executequery();
public static string sql(string str)
username=sql(username);
password=sql(password);
string sql="select * from users where username='"+username+"' and password='"+password+"' "
statement sta = conn.createstatement();
resultset rs = sta.executequery(sql);
sql注入及防範
1.對使用者登入進行驗時的 sql寫成 name post name password post password query select from t user where name name and password password 可注入方式 1 萬能密碼 xx and 1 1 2 萬能使...
防範sql注入值得注意地方
sql注入是大家基本都清楚，一般來說用引數化就能解決注入的問題，也是最好的解決方式。有次技術群裡問到乙個問題，如下圖 很顯然tablename是外部傳遞過來的，暫時不考慮具體的業務環境，但如果以select from table 把錶名稱當引數肯定是不能執行的，如果是拼接sql會有注入的危險。那麼此...
SQL注入的防範
所謂sql注入，就是通過把sql命令偽裝成正常的http請求引數，傳遞到服務端，欺騙伺服器最終執行惡意的sql命令，達到入侵目的。攻擊者可以利用sql注入漏洞，查詢非授權資訊，修改資料庫伺服器的資料，改變表結構，甚至是獲取伺服器root許可權。預編譯語句使用引數佔位符來替代需要動態傳入的引數，這樣攻...