1. 使用参数化查询： 使用参数化的查询语句可以防止注入攻击。参数化查询使用参数占位符而不是将用户输入直接嵌入到SQL语句中。数据库驱动程序会在执行查询时将用户输入正确地转义，从而防止注入攻击。
示例（使用参数化查询）：
# Python 使用 MySQLdb 模块
import MySQLdb
# 用户输入
user_input = "John' OR '1'='1"
# 参数化查询
cursor.execute("SELECT * FROM users WHERE username=%s", (user_input,))
2. 使用预编译语句（Prepared Statements）： 预编译语句是一种数据库操作方式，它将SQL查询的结构与参数分开。在执行时，数据库系统会将预编译语句与用户输入合并，而不会直接将用户输入插入到SQL语句中。
示例（使用预编译语句）：
// Java 使用 JDBC
String user_input = "John' OR '1'='1";
String sql = "SELECT * FROM users WHERE username = ?";
try (PreparedStatement preparedStatement = connection.prepareStatement(sql)) {
preparedStatement.setString(1, user_input);
ResultSet resultSet = preparedStatement.executeQuery();
// 处理结果集
}
3. 最小权限原则： 为应用程序的数据库用户提供最小必要的权限，仅允许其执行其所需的操作。不要使用具有过多权限的用户。
4. 输入验证和过滤： 对用户输入进行验证和过滤，确保它符合预期的格式和类型。例如，如果用户输入应该是一个数字，确保它是数字，并在将其用于SQL查询之前进行适当的转义或编码。
5. 错误消息处理： 不要向用户返回详细的数据库错误消息，因为这可能会透露敏感信息。在生产环境中，将错误消息记录到服务器日志，而不是向用户公开。
6. 安全的密码存储： 使用密码哈希和盐值来存储密码，而不是将明文密码存储在数据库中。
7. 定期更新和审查代码： 定期审查应用程序的代码以查找潜在的注入漏洞，并确保使用最新版本的库和框架，以获得最新的安全性修复。
通过采取这些预防措施，可以大大减少SQL注入攻击的风险。在任何应用程序中，都应该将安全性作为设计和开发的重要考虑因素。
转载请注明出处：http://www.pingtaimeng.com/article/detail/8005/MySQL