防止 SQL 注入攻击需要多方面的安全实践，以下是总结的防御策略：
---
1. 使用参数化查询或预编译语句
核心原则：将用户输入与 SQL 查询分隔，避免直接将用户输入拼接到查询中。
实现方式：
在 PHP 中使用 PDO 或 mysqli：
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->execute(['username' => $username]);
在 Java 中使用 PreparedStatement：
PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE username = ?");
stmt.setString(1, username);
ResultSet rs = stmt.executeQuery();
优点：避免了输入内容被直接当作 SQL 代码解析的可能性，是防御 SQL 注入的首选方法。
---
2. 输入验证与清理
验证规则：
字符限制：限制只能接受数字、字母或预期的字符集。
数据类型验证：确保输入符合预期的类型（如数字、日期等）。
清理输入：
转义特殊字符（仅适用于无法使用参数化查询的情况）。
示例（PHP）：
$safe_input = mysqli_real_escape_string($connection, $user_input);
注意：输入验证是增强防御的一部分，但不能替代参数化查询。
---
3. 遵循最小权限原则
原理：限制数据库用户的权限，确保攻击者无法在注入后执行高权限操作。
具体做法：
数据库账户只授予必要的权限（如只读账户无法执行 INSERT、DELETE）。
避免使用数据库管理员（DBA）或 root 用户执行应用任务。
示例：
创建一个仅有 SELECT 权限的用户：
GRANT SELECT ON database.table TO 'readonly_user'@'localhost';
---
4. 利用存储过程
原理：通过预定义的存储过程封装数据库逻辑，限制动态 SQL 的执行。
优势：
存储过程避免直接拼接 SQL 字符串。
提供更强的访问控制。
示例（MySQL）：
CREATE PROCEDURE GetUser(IN username VARCHAR(50))
BEGIN
SELECT * FROM users WHERE username = username;
END;
在应用中调用：
$stmt = $pdo->prepare("CALL GetUser(:username)");
$stmt->execute(['username' => $username]);
---
5. 实施输入白名单机制
定义：明确指定允许的输入格式，拒绝所有非预期输入。
实现方式：
使用正则表达式验证：
if (!preg_match('/^[a-zA-Z0-9_]+$/', $username)) {
die("Invalid input");
}
列举允许值（如下拉菜单、固定选项）。
优点：确保应用仅接受安全的输入，防止意外或恶意数据进入。
---
6. 其他重要措施
数据库错误信息隐藏：
禁止向用户暴露详细的 SQL 错误信息。
在生产环境中关闭调试模式。
示例（PHP）：
ini_set('display_errors', 0);
使用 Web 应用防火墙 (WAF)：
部署 WAF（如 ModSecurity）以实时检测和拦截 SQL 注入攻击。
加密敏感数据：
即使数据库泄露，也无法直接使用存储的敏感信息。
使用强加密算法存储用户数据，如密码：
$hashed_password = password_hash($password, PASSWORD_BCRYPT);
---
总结
SQL 注入防护不是单一技术，而是多种方法的结合。以下是核心策略优先级：
1. 首选：参数化查询或预编译语句。
2. 加强：输入验证、白名单机制和最小权限原则。
3. 补充：使用存储过程和隐藏错误信息。
综合运用这些策略，可以大大降低 SQL 注入攻击的风险，保护系统安全。
---
1. 使用参数化查询或预编译语句
核心原则：将用户输入与 SQL 查询分隔，避免直接将用户输入拼接到查询中。
实现方式：
在 PHP 中使用 PDO 或 mysqli：
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->execute(['username' => $username]);
在 Java 中使用 PreparedStatement：
PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE username = ?");
stmt.setString(1, username);
ResultSet rs = stmt.executeQuery();
优点：避免了输入内容被直接当作 SQL 代码解析的可能性，是防御 SQL 注入的首选方法。
---
2. 输入验证与清理
验证规则：
字符限制：限制只能接受数字、字母或预期的字符集。
数据类型验证：确保输入符合预期的类型（如数字、日期等）。
清理输入：
转义特殊字符（仅适用于无法使用参数化查询的情况）。
示例（PHP）：
$safe_input = mysqli_real_escape_string($connection, $user_input);
注意：输入验证是增强防御的一部分，但不能替代参数化查询。
---
3. 遵循最小权限原则
原理：限制数据库用户的权限，确保攻击者无法在注入后执行高权限操作。
具体做法：
数据库账户只授予必要的权限（如只读账户无法执行 INSERT、DELETE）。
避免使用数据库管理员（DBA）或 root 用户执行应用任务。
示例：
创建一个仅有 SELECT 权限的用户：
GRANT SELECT ON database.table TO 'readonly_user'@'localhost';
---
4. 利用存储过程
原理：通过预定义的存储过程封装数据库逻辑，限制动态 SQL 的执行。
优势：
存储过程避免直接拼接 SQL 字符串。
提供更强的访问控制。
示例（MySQL）：
CREATE PROCEDURE GetUser(IN username VARCHAR(50))
BEGIN
SELECT * FROM users WHERE username = username;
END;
在应用中调用：
$stmt = $pdo->prepare("CALL GetUser(:username)");
$stmt->execute(['username' => $username]);
---
5. 实施输入白名单机制
定义：明确指定允许的输入格式，拒绝所有非预期输入。
实现方式：
使用正则表达式验证：
if (!preg_match('/^[a-zA-Z0-9_]+$/', $username)) {
die("Invalid input");
}
列举允许值（如下拉菜单、固定选项）。
优点：确保应用仅接受安全的输入，防止意外或恶意数据进入。
---
6. 其他重要措施
数据库错误信息隐藏：
禁止向用户暴露详细的 SQL 错误信息。
在生产环境中关闭调试模式。
示例（PHP）：
ini_set('display_errors', 0);
使用 Web 应用防火墙 (WAF)：
部署 WAF（如 ModSecurity）以实时检测和拦截 SQL 注入攻击。
加密敏感数据：
即使数据库泄露，也无法直接使用存储的敏感信息。
使用强加密算法存储用户数据，如密码：
$hashed_password = password_hash($password, PASSWORD_BCRYPT);
---
总结
SQL 注入防护不是单一技术，而是多种方法的结合。以下是核心策略优先级：
1. 首选：参数化查询或预编译语句。
2. 加强：输入验证、白名单机制和最小权限原则。
3. 补充：使用存储过程和隐藏错误信息。
综合运用这些策略，可以大大降低 SQL 注入攻击的风险，保护系统安全。
