如何防止SQL注入攻击

那天，我看到一个人在咖啡店里一边喝咖啡一边玩手机。
我突然想到，如果他的手机应用不小心泄露了用户的个人信息，后果将是灾难性的。
例如，如果直接使用你提到的密码对比代码，一旦攻击者猜出用户名，就可以轻松获取密码。

等等，还有别的事。
我记得之前有一个案例，一家公司由于密码比对代码存在漏洞，导致数千条用户数据泄露。
该公司后来花费了大量资金修复了该漏洞，并赔偿了用户的损失。

现在让我们看看两种方法。
方法一：在SQL语句中添加条件，确保只有用户名存在时才进行密码比较。
这实际上比直接连接 SQL 语句更安全。
然而，如果攻击者能够找到绕过用户名存在检查的方法，这种方法仍然不够安全。

方法2 采用PDO预处理操作，这个方法似乎更可靠。
通过准备语句，您可以避免 SQL 注入攻击，因为它们会自动转义输入。
不过，这也需要开发者正确使用PDO，否则如果使用不当，仍然可能会产生安全风险。

那么，哪种方法更安全呢？或者有没有更好的方法来防止SQL注入攻击？

网站如何防止sql注入攻击的解决办法

坦白来说，SQL注入的目的就是向数据库中注入一些不良数据，让数据库执行一些不该执行的操作。
比如查看账号密码，查看数据库版本，还可以查出服务器IP地址。
这是非常恶意的，很多网站都被这样攻击过。
结构化查询语言（SQL）听起来很专业，但它实际上是一种在网站开发中用于处理数据库的语言。
您可以使用它来验证数据、添加数据和修改数据。
有两种类型的数据库。
一是关系型数据库，比如现在比较常用的MySQL、Oracle、SQL Server等；另一种是非关系型数据库，比如Redis、MongoDB，适合存储海量数据或者并发量特别高的场景。

那么什么是SQL注入呢？很简单，就是强行向网站发送数据，并执行恶意SQL语句来攻击网站。
通过参与此类攻击，可以获得很多隐私信息，例如数据库版本、管理员账户密码等。

如何防止SQL注入？ There are some points to note:
1 . SQL注入是通过绑定参数来实现的。
例如，在编写 PHP 代码时，获取参数值并将其直接绑定到 SQL 查询中。
如果恶意参数链接在一起，则可能会执行 SQL 语句。
因此，在编写代码时，必须过滤掉非法参数，并将用户输入的所有内容都视为字符串。
这样，即使出现恶意参数，也只会将其视为字符串，而不会执行 SQL 语句。

2 必须仔细过滤站点上的所有可写区域。
如果您错过了入口点，您可能会受到攻击。
前端爆发的ecshop漏洞是利用user.php伪造引用参数的SQL注入。
参考和用户代理字段很容易被伪造，并且可以用 SQL 语句填充。

3 运行PHP魔法配置，开启安全模式，关闭全局变量模式。
还有一些参数需要设置。
如果你自己搞不定，可以找专业的安全公司帮你搞定。

说实话，这个事情很复杂，我当时并没有考虑到。
但简而言之，过滤输入、严格限制写入以及执行良好的配置可以防止大多数攻击。