草丁图书馆

  1. 首页 > 生活杂烩 >

sql注入如何防止，有效防止sql注入的方法

小知识


什么是sql注入 ， 如何防止sql注入 可以使用变量绑定的方式就可以防止sql注入 ， 如果是直接拼接的方式那么就非常容易被注入 。 比如：select * from tablename where user='admin' and pwd ='123' 假设说这个是一个登录的sql语句 ， admin是用户文本框输入的 ， pwd是密码框输入的 。 如果密码文本框如果输入：' or '1'='1 那么拼接起sql就是select * from tablename where user='admin' and pwd ='' or '1'='1' 那么就会跳过sql的条件就直接进入登录 ， 但是如果是使用绑定变量的就不一样
如下：
select * from tablename where user=@user and pwd =@pwd
@user=admin
@pwd=123
这样的话不管user和pwd传入的是什么内容都被sql server识别成字符串而不是直接拼接在sql 语句上 。
如何防止sql注入 1.永远不要信任用户的输入 ， 要对用户的输入进行校验 ， 可以通过正则表达式 ， 或限制长度 ， 对单引号和双"-"进行转换等 。
2.永远不要使用动态拼装SQL ， 可以使用参数化的SQL或者直接使用存储过程进行数据查询存取 。
3.永远不要使用管理员权限的数据库连接 ， 为每个应用使用单独的权限有限的数据库连接 。
4.不要把机密信息明文存放 ， 请加密或者hash掉密码和敏感的信息 。
5.应用的异常信息应该给出尽可能少的提示 ， 最好使用自定义的错误信息对原始错误信息进行包装 ， 把异常信息存放在独立的表中 。
如何防止sql注入攻击？ 什么是sql注入？如何防止sql注入
所谓SQL注入 ， 就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串 ， 最终达到欺骗服务器执行恶意的SQL命令 。 具体来说 ， 它是利用现有应用程序 ， 将（恶意）的SQL命令注入到后台数据库引擎执行的能力 ， 它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库 ， 而不是按照设计者意图去执行SQL语句 。
什么是sql注入 ， 怎么防止sql注入 sql注入其实就是在这些不安全控件内输入sql或其他数据库的一些语句 ， 从而达到欺骗服务器执行恶意到吗影响到数据库的数据 。 防止sql注入 ， 可以在接受不安全空间的内容时过滤掉接受字符串内的“'” ， 那么他不再是一条sql语句 ， 而是一个类似sql语句的zifuc ， 执行后也不会对数据库有破坏 。
如：
username = request("username") //获取用户名 这里是通过URL传值获取的 。
password = request("password") //获取密码 也是通过URL传值获取的 。
sql="select * from userlist where username = '" & username & "' and password = '" & password & "'"--------如果某个人知道某个用户名是admin,常常有人网站的管理员用户名就是admin,这是密码可以选用'or 1 or ',
那么sql="select * from userlist where username = 'admin' and password = '' or 1 or ''" ， 显然1是恒真的 ， 那么验证密码就通过了 。
【sql注入如何防止，有效防止sql注入的方法】防止的方式比较多 ， 比如可以限制username,password中出现"'"这些字符 ， 一般网站都是只允许数字 ， 字符 ， 下划线的组合 ， 这可以通过javascript验证 。 也可以采取用存储过程代替sql拼接 ， 等等 。


如何防止SQL注入 一、存储程序
在学习数据库视频的时候接触过 ， 它是存储在数据库中的一些事先编译好的指令 。 在用的时候不用重新编写 ， 直接调用就好了 。 所以 ， 使用它可以大大提高程序的执行效率 。

推荐阅读


上一篇：身上青一块紫一块 或是疾病的预警

下一篇：如何去死，最容易成功的死亡方法