预编译能否 100%防 sql 注入?

🌟 什么是 SQL 注入？

SQL 注入（SQL Injection）是指攻击者利用特殊输入，让数据库执行它本来不应该执行的代码，从而获取或篡改数据。

就像在考试的时候偷偷改题目，让老师改成你想要的内容！ 😱

🌟 先来看一个正常的 SQL 查询

假设你的网站有一个登录功能，代码是这样的：

🔹 登录代码

$username = $_GET['username'];  
$password = $_GET['password'];  

$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

✅ 这个代码的意思是：
👉 从 users 表里查找 用户名 = $username 且 密码 = $password 的用户。

如果数据库里有这条数据，用户就可以登录！

🌟 用户输入正常数据（正确方式）

假设用户输入：

username = admin
password = 123456

最终SQL语句：

SELECT * FROM users WHERE username = 'admin' AND password = '123456';

✅ 如果 admin 这个用户的密码是 123456，那么数据库会返回这个用户的信息，表示登录成功！

🚨 但如果攻击者输入特殊字符呢？

攻击者可能会这样输入：

username = admin' --
password = （随便填）

那么最终SQL语句变成：

SELECT * FROM users WHERE username = 'admin' -- ' AND password = 'xxxxx';

这里发生了什么？

  • -- 是SQL中的注释符号，它会让后面代码（AND password='xxxxx'）变成无效的注释。

  • 结果就变成：

    SELECT * FROM users WHERE username = 'admin'

    相当于直接查询 admin 用户，而不检查密码！ 😱

  • 这样攻击者就可以绕过密码验证，直接登录 admin 账号！✅

  • 🌟 现实世界的比喻

  • 💡 想象你在银行办理取款业务，柜员要核对你的身份：

  • 正常情况：
    柜员问你：请告诉我你的用户名和密码，如果正确，我就给你取钱。

    • 你说：“我是 admin，密码是 123456”

    • 银行查了一下，发现你的用户名和密码匹配，于是让你取钱。✅

  • 被攻击的情况（SQL注入）：
    攻击者说：“我是 admin，但是密码这部分不重要，你不用检查。”

    • 银行糊涂了，以为你就是 admin，直接给你取钱！

    • 🌟 关键点总结

    • 1️⃣ SQL 注入的本质：利用特殊字符破坏 SQL 语句结构，让数据库执行本不应该执行的代码。
      2️⃣ 常见注入方式：

    • 单引号 '（破坏 SQL 结构）

    • --（注释掉后续代码）

    • OR 1=1（让查询条件永远成立） 

    • 3️⃣ 为什么 SQL 注入危险？

    • 可以绕过密码验证，直接登录

    • 可以获取数据库里的所有数据（用户信息、密码、银行卡号）

    • 甚至可以删除数据，破坏整个系统！ 😱

    • 🌟 2. 什么是预编译（Prepared Statement）？

      🔹 预编译的作用

      预编译（Prepared Statement）的核心思想是： 👉 把 SQL 语句和用户输入的参数分开处理，防止用户输入的数据被当成 SQL 代码执行。

      就像去餐馆点菜时，菜谱是固定的，顾客只能填菜名，不能改动菜单的内容，这样就不会有欺骗行为。

      🔹 普通的 SQL 语句（容易被 SQL 注入攻击）

      🚨 下面是一个 危险的 SQL 代码

    • $name = $_GET['name'];  
      $query = "SELECT * FROM users WHERE name = '$name'";
      $result = $pdo->query($query);

      👆 这里的问题是：

    • $name 直接拼接到 SQL 语句中，如果用户输入了恶意代码，就会被数据库当成 SQL 代码执行，导致 SQL 注入！

    • ✅ 使用预编译（防止 SQL 注入）

      $stmt = $pdo->prepare('SELECT * FROM users WHERE name = ?');
      $stmt->execute([$name]);

      execute([$name]);

      个代码是安全的！ 为什么？

          prepare('SELECT * FROM users WHERE name = ?') 这一步先定义好 SQL 语句，但不插入具体的值。

          execute([$name]) 这一步才把 $name 作为普通字符串插入，不会被当成 SQL 代码。

      💡 无论用户输入什么，它都会被当成普通文本，不会影响 SQL 语句本身。

    • 🌟 3. 为什么预编译不能 100% 防 SQL 注入？

      虽然预编译能防止大部分 SQL 注入，但在某些特殊情况下，仍然可能被绕过。
      下面是三个真实案例，让你彻底理解！😱

    • 🚨 案例一：宽字节注入

      🌍 发生场景
      某些数据库（比如 MySQL）在处理GBK 编码时，可能会错误地解析特殊字符，从而导致 SQL 注入。

      💻 代码示例

    • $pdo->query('SET NAMES gbk');  // 设定 GBK 编码
      $var = "\xbf\x27 OR 1=1 /*";    // 特殊构造的字符串
      $query = 'SELECT * FROM test WHERE name = ? LIMIT 1';
      $stmt = $pdo->prepare($query);
      $stmt->execute([$var]);

      ❓ 为什么会有问题？

      1️⃣ \xbf\x27 在 GBK 编码下，可能会被误解析为一个单独的字符。
      2️⃣ 剩下的部分 "OR 1=1 /*" 会被数据库当成 SQL 代码执行！
      3️⃣ 这样就变成：

    • SELECT * FROM test WHERE name = '某些字符' OR 1=1 /*

      OR 1=1 永远为真，所以查询会返回所有数据，导致信息泄露！ 😱

    • 🚨 案例二：表名注入

      🌍 发生场景
      预编译只能防止SQL参数注入，但如果动态拼接SQL，还是会有风险！😨

      💻 代码示例

    • $dbh = new PDO("mysql:host=localhost;dbname=test", "root", "password");
      $name = $_GET['name'];  // 例如输入："users; DROP TABLE users;"
      $stmt = $dbh->prepare('SELECT * FROM ' . $name . ' WHERE username = :username');
      $stmt->execute([':username' => $_REQUEST['username']]);

      ❓ 为什么会有问题？

      1️⃣ $name 直接拼接进 SQL 语句，而不是作为参数传入 prepare()。
      2️⃣ 攻击者可以输入恶意表名，比如：

    • users; DROP TABLE users;

      3️⃣ 这样 SQL 语句变成：

    • SELECT * FROM users; DROP TABLE users; WHERE username = 'admin'

      🔴 结果：users 表被删除！数据丢失！ 😱

    • 案例三：ORDER BY 注入

      🌍 发生场景
      有些 SQL 语句的排序字段不能使用预编译参数，这会导致 SQL 注入。

      💻 代码示例

    • $stmt = $dbh->prepare('SELECT * FROM foo ORDER BY :userSuppliedData');
      $stmt->execute([':userSuppliedData' => $_GET['sort']]);

      为什么会有问题？

      1️⃣ ORDER BY 后面的字段名 不能使用预编译参数。
      2️⃣ 攻击者可以输入：

    • id DESC; DROP TABLE foo;

      3️⃣ 这样 SQL 语句变成：

    • SELECT * FROM foo ORDER BY id DESC; DROP TABLE foo;

      4️⃣ 🔴 结果：foo 表被删除！数据库数据被破坏！ 😱

      🌟 4. 如何完全防止 SQL 注入？

      虽然预编译是一个很好的安全措施，但它并不能 100% 防止 SQL 注入。
      所以，我们还需要额外的安全措施！👇

      ✅ 方法 1：严格限制输入格式

      💡 不要让用户输入影响 SQL 结构的内容！
      🔹 例如，限制表名、列名、排序字段只能从“白名单”中选择！

    • $allowedSortFields = ['id', 'name', 'date'];  
      if (!in_array($_GET['sort'], $allowedSortFields)) {  
          die("Invalid input");  // 直接终止，防止 SQL 注入  
      }

      ✅ 方法 2：使用 ORM 框架

      🔹 ORM（Object-Relational Mapping） 框架（比如 Laravel 的 Eloquent、Doctrine）会自动处理 SQL 语句，默认带有安全检查。

      示例：

    • User::where('name', $name)->first();

      ORM 会自动处理 SQL 注入问题，不需要手动写 SQL 语句。

      ✅ 方法 3：最小权限原则

      🔹 不要使用数据库管理员账户（如 root）运行 SQL 语句！ 🔹 为应用创建权限受限的数据库账户，这样即使有 SQL 注入，也不会破坏整个数据库。

      CREATE USER 'webapp'@'localhost' IDENTIFIED BY 'securepassword';
      GRANT SELECT, INSERT, UPDATE, DELETE ON testdb.* TO 'webapp'@'localhost';

      这样，即使黑客注入了 DROP TABLE users;，也无法执行，因为 webapp 账号没有删除表的权限！😃

      🌟 总结

      ✅ 预编译是 SQL 防注入的核心方法，但并不 100% 安全。
      ✅ SQL 注入绕过的三种方式：

    • 宽字节注入（特殊字符编码问题）

    • 表名注入（拼接动态 SQL ）

    • ORDER BY 注入（排序字段不能预编译）
      ✅ 想要 100% 防 SQL 注入，还需要额外措施！
      ✅ 最佳安全做法：

    • 严格限制用户输入

    • 使用 ORM 框架

    • 遵循最小权限原则












    •  

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/diannao/75707.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

第十五章 | Layer2、Rollup 与 ZK 技术实战解析

第十五章 | Layer2、Rollup 与 ZK 技术实战解析

📚 第十五章 | Layer2、Rollup 与 ZK 技术实战解析 ——构建下一代高性能区块链应用，从 Solidity 到 zkSync！ ✅ 本章导读 Layer2 和零知识证明（ZK）正成为区块链发展的核心方向。 随着主网 Gas 居高不下、TPS 无法满…
阅读更多...
2025-03-26 学习记录--C/C++-PTA 6-3 求链式表的表长

2025-03-26 学习记录--C/C++-PTA 6-3 求链式表的表长

合抱之木，生于毫末；九层之台，起于累土；千里之行，始于足下。💪🏻 一、题目描述 ⭐️ 6-3 求链式表的表长 本题要求实现一个函数，求链式表的表长。 函数接口定义： &…
阅读更多...
【Linux】Linux_Ubuntu与Windows之间的文件传输

【Linux】Linux_Ubuntu与Windows之间的文件传输

一、Linux终端命令的复制粘贴 1.打开linux 终端，输入以下命令：（注意，需要联网） 2.命令行下载： sudo apt-get autoremove open-vm-tools 3.命令行安装： sudo apt-get install open-vm-tools-…
阅读更多...
Python Sanic面试题及参考答案

Python Sanic面试题及参考答案

目录 Sanic 的事件循环机制与 uvloop 的关系 Sanic 的 Request/Response 对象生命周期如何管理？如何访问请求上下文？ 对比 Sanic 与 Flask/Django 的异步处理模型差异 Sanic 的 Blueprint 机制如何实现模块化路由？如何处理跨蓝图中间件？ 如何在 Sanic 中实现 WebSocket…
阅读更多...
算法每日一练 (18)

算法每日一练 (18)

💢欢迎来到张翊尘的技术站 💥技术如江河，汇聚众志成。代码似星辰，照亮行征程。开源精神长，传承永不忘。携手共前行，未来更辉煌💥 文章目录 算法每日一练 (18)删除并获得点数题目描述解题思路解题…
阅读更多...
VsCode启用右括号自动跳过(自动重写) - 自录制gif演示

VsCode启用右括号自动跳过(自动重写) - 自录制gif演示

VsCode启用右括号自动跳过(自动重写) - 自录制gif演示 前言 不知道大家在编程时候的按键习惯是怎样的。输入完左括号后编辑器一般会自动补全右括号&#xff0c;输入完左括号的内容后&#xff0c;是按→跳过右括号还是按)跳过右括号呢&#xff1f; for (int i 0; i < a.s…
阅读更多...
用Python和Stable Diffusion生成AI动画：从图像到视频的全流程指南

用Python和Stable Diffusion生成AI动画：从图像到视频的全流程指南

引言 本文将演示如何通过Python代码实现基于文本提示的AI动画生成。我们将使用Stable Diffusion生成连贯图像帧，结合OpenCV合成视频，最终实现一个可自定义的动画生成 pipeline。 一、环境准备 1. 依赖安装 # 安装核心库 pip install diffusers transformers torch numpy …
阅读更多...
【Git 常用指令速查表】

【Git 常用指令速查表】

Git 常用指令速查表 Git 常用指令速查表目录1. 初始化仓库2. 提交代码流程3. 分支管理4. 远程仓库操作5. 撤销操作6. 查看状态与日志7. 其他实用指令完整操作示例常用场景速查表 Git 常用指令速查表 目录 初始化仓库提交代码流程分支管理远程仓库操作撤销操作查看状态与日志其…
阅读更多...
分布式爬虫框架Scrapy-Redis实战指南

分布式爬虫框架Scrapy-Redis实战指南

引言 在当今数字化的时代背景下&#xff0c;互联网技术的蓬勃兴起极大地改变了旅游酒店业的运营模式与市场格局。作为旅游产业链中的关键一环&#xff0c;酒店业的兴衰与互联网技术的应用程度紧密相连。分布式爬虫技术&#xff0c;尤其是基于 Scrapy 框架的 Scrapy-Redis 扩展…
阅读更多...
爬虫：scrapy面试题大全（60个scrapy经典面试题和详解）

爬虫：scrapy面试题大全（60个scrapy经典面试题和详解）

更多内容请见： 爬虫和逆向教程-专栏介绍和目录 文章目录 1. 什么是Scrapy？2. Scrapy 框架的组件及其作用？3. Scrapy的工作流程是什么？（运行机制）4. 如何创建一个Scrapy项目？5. 如何定义一个Spider？6. 如何在Scrapy中提取数据？7. Scrapy中的Item是什么？8. Scrapy中的P…
阅读更多...
Leetcode12-整数转罗马数字

Leetcode12-整数转罗马数字

题目链接&#xff1a;12. 整数转罗马数字 - 力扣&#xff08;LeetCode&#xff09; 看题目限制输入1 < num < 3999&#xff0c;就直接用暴力法写了&#xff0c;还比较简单 代码&#xff1a; char* intToRoman(int num) {char *res (char*)malloc(100);int index 0;i…
阅读更多...
WebMvcConfigurer 的 addResourceLocations

WebMvcConfigurer 的 addResourceLocations

在 Spring Boot 的 addResourceLocations 方法中&#xff0c;file: 是一个 URL 前缀&#xff0c;用于指示资源的位置是本地文件系统路径。以下是详细解释&#xff1a; 一、file: 的作用 file: 是 Java 中用于表示本地文件系统的 URL 前缀。它告诉 Spring Boot&#xff0c;资源…
阅读更多...
Spring Boot响应压缩配置与优化

Spring Boot响应压缩配置与优化

一、核心工作机制 1.1 自动协商触发条件 Spring Boot的响应压缩功能基于智能协商机制&#xff0c;需同时满足以下条件方可触发&#xff1a; 客户端支持&#xff1a;请求头包含Accept-Encoding: gzip/deflate数据量阈值&#xff1a;响应体大小超过预设值&#xff08;默认2KB&…
阅读更多...
JavaScript 改变 HTML 样式

JavaScript 改变 HTML 样式

JavaScript 改变 HTML 样式 JavaScript 改变 HTML 样式的核心是通过操作 DOM 元素的 CSS 属性或 类名 实现动态视觉效果。以下是具体方法与场景解析： 一、直接修改元素的 style 属性 通过 DOM 元素的 style 属性直接设置内联样式，优先级最高： // 修改单个样式 document.…
阅读更多...
【vue】vue + vant实现上传图片添加水印

【vue】vue + vant实现上传图片添加水印

目录 方法1&#xff1a;使用HTML2canvas 说明&#xff1a; 优点 缺点 依赖安装 方法2&#xff1a;使用canvas结合vant中组件 增加水印方法 在vue组件中使用 要点 方法1&#xff1a;使用HTML2canvas 使用html2canvas来处理水印的生成&#xff0c;需要就给水印元素转换为…
阅读更多...
【深度破解】爬虫反反爬核心技术实践：验证码识别与指纹伪装

【深度破解】爬虫反反爬核心技术实践：验证码识别与指纹伪装

一、反爬技术体系全景图 现代Web应用的常见反爬手段&#xff1a; mermaid&#xff1a; graph TDA[反爬体系] --> B[行为特征检测]A --> C[验证码体系]A --> D[指纹追踪]B --> B1[请求频率]B --> B2[鼠标轨迹]B --> B3[页面停留时间]C --> C1[图形验证码…
阅读更多...
deepseek(2)——deepseek 关键技术

deepseek(2)——deepseek 关键技术

1 Multi-Head Latent Attention (MLA) MLA的核心在于通过低秩联合压缩来减少注意力键&#xff08;keys&#xff09;和值&#xff08;values&#xff09;在推理过程中的缓存&#xff0c;从而提高推理效率&#xff1a; c t K V W D K V h t c_t^{KV} W^{DKV}h_t ctKV​WDKVht​…
阅读更多...
OpenGL绘制文本

OpenGL绘制文本

一&#xff1a;QPainter绘制 在 OpenGL 渲染的窗口中&#xff08;如 QOpenGLWidget&#xff09;&#xff0c;通过 QPainter 直接绘制文本。Qt 会自动将 2D 内容&#xff08;文本、图形&#xff09;与 OpenGL 内容合成。在paintGL()里面绘制&#xff0c;如果有其他纹理&#xf…
阅读更多...
从零构建大语言模型全栈开发指南：第二部分：模型架构设计与实现-2.1.3前馈网络（FFN）与激活函数（GELU）优化

从零构建大语言模型全栈开发指南：第二部分：模型架构设计与实现-2.1.3前馈网络（FFN）与激活函数（GELU）优化

👉 点击关注不迷路 👉 点击关注不迷路 👉 点击关注不迷路 文章大纲 2.1.3 前馈网络（FFN）与激活函数（GELU）优化1. 前馈网络（FFN）的架构设计与数学原理1.1 FFN在Transformer中的核心作用2. GELU激活函数的数学特性与优化2.1 GELU的数学形式与近似计算3. 逐行代码实现…
阅读更多...
React 中的错误边界（Error Boundaries），如何使用它们捕获组件错误

React 中的错误边界（Error Boundaries），如何使用它们捕获组件错误

大白话React 中的错误边界&#xff08;Error Boundaries&#xff09;&#xff0c;如何使用它们捕获组件错误 在 React 里&#xff0c;错误边界就像是一个“小卫士”&#xff0c;专门负责在组件出现错误时挺身而出&#xff0c;避免整个应用因为一个小错误就崩溃掉。接下来我会详…
阅读更多...
最新文章

Copyright @ 2022~2023