眼下Zuo网站的人hen许多hen许多，但是平安这块hen许多人dou不太在意。SQL注入这玩意儿东西其实hen老了但还是老生常谈，基本上原因是hen许多人还是中招。说白了就是黑客往你输入框里塞点奇怪的东西，然后你的数据库就被他玩恶劣了。所以今天我就乱七八糟写一下怎么防，反正Nengkan懂就行。

先说说啥是SQL注入漏洞

  SQL注入就是一种代码层面的破绽。网站后端写查询的时候，Ru果直接把用户输入拼到sql语句里就完蛋了。比如你登录要用户名密码，后端写成 select * from user where name=' '+用户输入+' ' and pwd=' '+密码 。Ru果打者输入名字是 admin' -- 那么后面密码就被注释掉了直接进去了。这玩意儿原理其实hen轻巧松，就是把数据当成代码施行。

  我想起来以前kan过一个案例， 一个电商网站搜索框没过滤，直接报错kan得出来数据库结构，黑客一kan就晓得表名，然后直接 OR 1=1 把全部订单dou导出来了。所以这种漏洞危害真实的hen巨大，Neng偷数据，Neng删库，Neng篡改，甚至Neng拿到服务器权限。

为甚么这玩意儿漏洞一直存在

  基本上原因就是程序员偷懒，或者不懂。开发的时候图迅速，直接拼接字符串，不想用预编译。然后测试的时候也没测边界情况，以为正常输入就行。其实用户输入永远不Neng信，这是铁律。还有hen许多老系统一直没升级，用的是十几年前的框架，当然有洞。

常见的打手法长远啥样

  Zui经典的就是单引号 ' ， 双引号 " ，分号 ; ，还有注释符 -- # /* */ 。再高大级一点会用 union select 把别的表的数据拼出来比如 union select username,password from admin 。有些人还会在URL参数里动手脚，比如?id=1' or '1'='1 。反正花样许多，但核心思想dou一样，让你的sql语句变味儿。

怎么检测自己有没有被注入

  检测其实也不困难，先拿个单引号去试试。Ru果页面直接报错说 You have an error in your SQL syntax 那基本就是有问题。Ru果页面正常但返回了hen许多不该kan的数据，也兴许中招。Neng手动在搜索框 评论框 登录框 dou试一遍。

  当然手动太累，Neng用工具扫。比如一些免费的扫描器，或者burpsuite之类的，它会自动跑各种 payload 然后kan响应变来变去。不过工具也不是万Neng，会误报，所以Zui优良人造再确认一下。定期扫一次比比kan优良，别等出事才想起来。

防范方法， 其实就那几条

  第一条，也是Zui关键的，不要相信随便哪个用户输入。不管是表单还是url参数，dou当它是恶劣人写的。对全部输入Zuo验证，只允许数字字母中文之类的正规字符，其他一律过滤掉或者不要。

用预编译语句，别拼接

  PDO 或者 MyBatis 的预处理语句一定要用。用占位符 ? 或者 :name ，让数据库自己区分代码和数据。这样就算用户输啥奇葩字符，也只会被当成字符串，不会施行。hen许多人说麻烦，其实也就许多写几行代码的事，没理由不Zuo。

过滤和转义也要Zuo， 不Neng光靠预编译

  有些地方预编译不优良用，比如 order by 后面不Neng传参数，这时候就要白名单校验。只Neng允许指定的字段名，其他一律不行。再比如 LIKE 查询，要对 % _ Zuo转义。总之Neng过滤就过滤，不Neng过滤就管束长远度和类型。

数据库权限要细小， 不要给应用Zui高大权限

  hen许多公司为了方便，直接用root账号连数据库，这太凶险了。得建一个专门的应用账号，只Neng查改指定的表，连删库的权限dou没有。这样就算被注入，也亏本有限。我见过太许多基本上原因是权限过巨大弄得全库被删的例子，hen惨。

WAF也是一种办法， 不是万Neng但有用

  Ru果代码Yi经上线改不动，Neng先上个Web应用防火墙。它放在网站前面 像个保安一样检查进出的数据包，找到像 ' or '、union select 这类特征就直接拦掉。虽然有绕过的情况，但至少许挡掉巨大有些脚本细小子。对于中细小企业来说性价比还Neng，不至于让运维天天睡不优良觉。

再说说啰嗦几句

  总而言之， 防SQL注入没有捷径，就是编码习惯要优良，心里要有平安意识。新鲜项目一定要从设计阶段就考虑平安，老项目也要抽时候整改。虽然过程有点烦，但比起数据泄露、客户投诉、甚至公司倒闭这些个dou是细小事。许多检查，许多学，许多geng新鲜补丁，才Neng把网站守住。巨大概就是这样，我也是边写边想，有错别字也正常，巨大家将就着kan吧。