sql参数化查询是防止sql注入的关键技术，其通过将sql结构与数据分离，确保用户输入仅作为参数传递，不会被解释为可执行代码。1. 参数化查询在python中使用占位符（如%s）和参数元组实现；2. Java中通过preparedstatement接口和?占位符设置参数值；3. 其他防注入方法包括输入验证、最小权限原则、orm框架和waf，但效果不如参数化查询；4. 动态sql可通过拼接语句并参数化处理或使用orm框架实现安全防护。
SQL参数化查询是防止sql注入攻击的关键技术，它通过将sql语句的结构和数据分开处理，有效避免恶意用户构造特殊输入来篡改SQL语句的执行逻辑。
SQL防注入的核心在于不要信任任何来自用户的输入。
参数化查询，又称为预编译语句，它的工作方式是将SQL语句的模板发送到数据库服务器，数据库服务器对这个模板进行编译，生成执行计划。之后，当需要执行这个SQL语句时，只需要将参数传递给数据库服务器即可。由于SQL语句的结构已经确定，参数只是作为数据传递，因此即使参数中包含SQL关键字，也不会被数据库服务器解释为SQL语句的一部分，从而避免了SQL注入攻击。
如何在不同编程语言中使用参数化查询？
不同的编程语言和数据库驱动程序提供了不同的方式来实现参数化查询。例如，在python中使用psycopg2库连接postgresql数据库，可以使用如下方式：
import psycopg2 conn = psycopg2.connect(database="mydatabase", user="myuser", password="mypassword", host="localhost", port="5432") cur = conn.cursor() sql = "SELECT * FROM users WHERE username = %s AND password = %s" params = ("' OR '1'='1", "password") # 故意构造的恶意输入，但不会被执行 cur.execute(sql, params) rows = cur.fetchall() for row in rows: print(row) cur.close() conn.close()
在这个例子中，%s是占位符，params是包含实际参数的元组。cur.execute()函数会自动将参数传递给数据库服务器，而不会将参数直接拼接到SQL语句中。这样，即使params中包含恶意的SQL代码，也不会被执行。
类似地，在Java中使用JDBC，可以使用PreparedStatement接口来实现参数化查询：
import java.sql.*; public class Example { public static void main(String[] args) { String url = "jdbc:postgresql://localhost:5432/mydatabase"; String user = "myuser"; String password = "mypassword"; try (Connection conn = DriverManager.getConnection(url, user, password); PreparedStatement pstmt = conn.prepareStatement("SELECT * FROM users WHERE username = ? AND password = ?")) { pstmt.setString(1, "' OR '1'='1"); // 故意构造的恶意输入 pstmt.setString(2, "password"); ResultSet rs = pstmt.executeQuery(); while (rs.next()) { System.out.println(rs.getString("username") + " " + rs.getString("password")); } } catch (SQLException e) { System.err.format("SQL State: %sn%s", e.getSQLState(), e.getMessage()); } } }
这里的?是占位符，pstmt.setString()方法用于设置参数的值。同样，即使参数中包含恶意的SQL代码，也不会被执行。
除了参数化查询，还有哪些防SQL注入的方法？
除了参数化查询，还有一些其他的防SQL注入方法，虽然它们通常不如参数化查询有效，但可以作为额外的安全措施：
- 输入验证和过滤: 对所有来自用户的输入进行验证和过滤，确保输入符合预期的格式和类型。例如，可以使用正则表达式来检查输入是否包含非法的字符。但是，这种方法很容易被绕过，因为攻击者可以使用各种技巧来构造恶意的输入。
- 最小权限原则: 数据库用户只应该拥有执行其任务所需的最小权限。例如，如果一个用户只需要读取数据，就不应该授予其修改数据的权限。这样，即使攻击者成功地注入了SQL代码，也无法执行一些敏感的操作。
- 使用ORM框架: ORM框架可以自动地处理SQL语句的构造和执行，从而避免了手动编写SQL语句的风险。许多ORM框架都内置了防SQL注入的机制。
- Web应用防火墙 (WAF): WAF可以检测和阻止恶意的http请求，包括SQL注入攻击。WAF通常使用各种规则和算法来识别SQL注入攻击，例如，检查HTTP请求中是否包含SQL关键字或特殊字符。
需要注意的是，这些方法都不能完全防止SQL注入攻击。最有效的防SQL注入方法仍然是使用参数化查询。
如何处理动态SQL语句的参数化查询？
在某些情况下，需要动态地构造SQL语句，例如，根据用户的输入来选择不同的查询条件。在这种情况下，可以使用参数化查询，但需要小心地处理SQL语句的构造过程。
一种方法是使用字符串拼接来构造SQL语句，但要确保所有的参数都经过了参数化处理。例如：
import psycopg2 conn = psycopg2.connect(database="mydatabase", user="myuser", password="mypassword", host="localhost", port="5432") cur = conn.cursor() sql = "SELECT * FROM users WHERE 1=1" params = [] if username: sql += " AND username = %s" params.append(username) if email: sql += " AND email = %s" params.append(email) cur.execute(sql, tuple(params)) rows = cur.fetchall() for row in rows: print(row) cur.close() conn.close()
在这个例子中，根据username和email的值来动态地构造SQL语句。但是，所有的参数都经过了参数化处理，因此可以有效地防止SQL注入攻击。
另一种方法是使用ORM框架，ORM框架可以自动地处理动态SQL语句的构造和参数化。
总而言之，SQL参数化查询是防SQL注入攻击最有效的手段，务必在你的应用程序中采用。
