本篇文章給大家分享的是有關(guān)防御SQL注入的方法是怎樣的，小編覺(jué)得挺實(shí)用的，因此分享給大家學(xué)習(xí)，希望大家閱讀完這篇文章后可以有所收獲，話不多說(shuō)，跟著小編一起來(lái)看看吧。

成都創(chuàng)新互聯(lián)公司是一家專(zhuān)業(yè)提供陽(yáng)西企業(yè)網(wǎng)站建設(shè),專(zhuān)注與成都網(wǎng)站設(shè)計(jì)、成都網(wǎng)站制作、H5頁(yè)面制作、小程序制作等業(yè)務(wù)。10年已為陽(yáng)西眾多企業(yè)、政府機(jī)構(gòu)等服務(wù)。創(chuàng)新互聯(lián)專(zhuān)業(yè)網(wǎng)絡(luò)公司優(yōu)惠進(jìn)行中。

SQL 注入是一類(lèi)危害極大的攻擊形式。雖然危害很大，但是防御卻遠(yuǎn)遠(yuǎn)沒(méi)有XSS那么困難。

SQL 注入可以參見(jiàn)：https://en.wikipedia.org/wiki/SQL_injection

SQL 注入漏洞存在的原因，就是拼接 SQL 參數(shù)。也就是將用于輸入的查詢(xún)參數(shù)，直接拼接在 SQL 語(yǔ)句中，導(dǎo)致了SQL 注入漏洞。

1. 演示下經(jīng)典的SQL注入

我們看到：select id,no from user where id=2;

如果該語(yǔ)句是通過(guò)sql字符串拼接得到的，比如： String sql = "select id,no from user where id=" + id;

其中的 id 是一個(gè)用戶輸入的參數(shù)，那么，如果用戶輸入的是 2， 那么上面看到查到了一條數(shù)據(jù)，如果用戶輸入的是 2 or 1=1 進(jìn)行sql注入攻擊,

那么看到，上面的語(yǔ)句(select id,no from user where id=2 or 1=1;)將user表中的所有記錄都查出來(lái)了。

這就是典型的sql注入。

再看一列：

我們看到通過(guò) sql 注入能夠直接將表 sqlinject 刪除掉！可見(jiàn)其危害！

2. sql 注入的原因

sql注入的原因，表面上說(shuō)是因?yàn)?拼接字符串，構(gòu)成sql語(yǔ)句，沒(méi)有使用 sql語(yǔ)句預(yù)編譯，綁定變量。

但是更深層次的原因是，將用戶輸入的字符串，當(dāng)成了 “sql語(yǔ)句” 來(lái)執(zhí)行。

比如上面的 String sql = "select id,no from user where id=" + id;

我們希望用戶輸入的 id 的值，僅僅作為一個(gè)字符串字面值，傳入數(shù)據(jù)庫(kù)執(zhí)行，但是當(dāng)輸入了： 2 or 1=1 時(shí)，其中的 or 1=1 并沒(méi)有作為 where id= 的字面值，而是作為了 sql語(yǔ)句 來(lái)執(zhí)行的。所以其本質(zhì)是將用戶的輸入的數(shù)據(jù)，作為了命令來(lái)執(zhí)行。

3. sql注入的防御

1> 基本上大家都知道 采用sql語(yǔ)句預(yù)編譯和綁定變量，是防御sql注入的最佳方法。但是其中的深層次原因就不見(jiàn)得都理解了。

 String sql = "select id, no from user where id=?";    PreparedStatement ps = conn.prepareStatement(sql);    ps.setInt(1, id);    ps.executeQuery();

如上所示，就是典型的采用 sql語(yǔ)句預(yù)編譯和綁定變量 。為什么這樣就可以防止sql 注入呢？

其原因就是：采用了PreparedStatement，就會(huì)將sql語(yǔ)句："select id, no from user where id=?" 預(yù)先編譯好，也就是SQL引擎會(huì)預(yù)先進(jìn)行語(yǔ)法分析，產(chǎn)生語(yǔ)法樹(shù)，生成執(zhí)行計(jì)劃，也就是說(shuō)，后面你輸入的參數(shù)，無(wú)論你輸入的是什么，都不會(huì)影響該sql語(yǔ)句的語(yǔ)法結(jié)構(gòu)了，因?yàn)檎Z(yǔ)法分析已經(jīng)完成了，而語(yǔ)法分析主要是分析sql命令，比如 select ,from ,where ,and, or ,order by 等等。所以即使你后面輸入了這些sql命令，也不會(huì)被當(dāng)成sql命令來(lái)執(zhí)行了，因?yàn)檫@些sql命令的執(zhí)行， 必須先的通過(guò)語(yǔ)法分析，生成執(zhí)行計(jì)劃，既然語(yǔ)法分析已經(jīng)完成，已經(jīng)預(yù)編譯過(guò)了，那么后面輸入的參數(shù)，是絕對(duì)不可能作為sql命令來(lái)執(zhí)行的，只會(huì)被當(dāng)做字符串字面值參數(shù)。所以sql語(yǔ)句預(yù)編譯可以防御sql注入。

2> 但是不是所有場(chǎng)景都能夠采用 sql語(yǔ)句預(yù)編譯，有一些場(chǎng)景必須的采用 字符串拼接的方式，此時(shí)，我們嚴(yán)格檢查參數(shù)的數(shù)據(jù)類(lèi)型，還有可以使用一些安全函數(shù)，來(lái)方式sql注入。

比如 String sql = "select id,no from user where id=" + id;

在接收到用戶輸入的參數(shù)時(shí)，我們就嚴(yán)格檢查 id，只能是int型。復(fù)雜情況可以使用正則表達(dá)式來(lái)判斷。這樣也是可以防止sql注入的。

安全函數(shù)的使用，比如：

 MySQLCodec codec = new MySQLCodec(Mode.STANDARD);    name = ESAPI.encoder().encodeForSQL(codec, name);    String sql = "select id,no from user where name=" + name;

ESAPI.encoder().encodeForSQL(codec, name)該函數(shù)會(huì)將 name 中包含的一些特殊字符進(jìn)行編碼，這樣 sql 引擎就不會(huì)將name中的字符串當(dāng)成sql命令來(lái)進(jìn)行語(yǔ)法分析了。

注：

實(shí)際項(xiàng)目中，一般我們都是采用各種的框架，比如ibatis, hibernate,mybatis等等。他們一般也默認(rèn)就是sql預(yù)編譯的。對(duì)于ibatis/mybatis，如果使用的是 #{name}形式的，那么就是sql預(yù)編譯，使用 ${name} 就不是sql預(yù)編譯的。

以上就是防御SQL注入的方法是怎樣的，小編相信有部分知識(shí)點(diǎn)可能是我們?nèi)粘９ぷ鲿?huì)見(jiàn)到或用到的。希望你能通過(guò)這篇文章學(xué)到更多知識(shí)。更多詳情敬請(qǐng)關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道。

分享標(biāo)題：防御SQL注入的方法是怎樣的
當(dāng)前鏈接：http://chinadenli.net/article16/ipgcdg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供軟件開(kāi)發(fā)、域名注冊(cè)、虛擬主機(jī)、手機(jī)網(wǎng)站建設(shè)、品牌網(wǎng)站建設(shè)、微信公眾號(hào)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)