『壹』 php如何防止sql注入
PHP防止sql注入是一個比較低級的問題了，這個問題其實在我大一上學期做第一個個人博客的時候就已經關注過了，不過簡單的說一下關於PHP防注入的方式吧。
對於現在的防注入技術其實已經成熟了，對於一個站點該關心的不是防注入了，而是大規模高並發如何處理的問題，或者關於各種其他漏洞，比如現在世界上仍然有百分之80使用redis的站點存在redis漏洞，通過redis漏洞可以直接拿到機器的訪問許可權，一般來說都是直接給你種一個挖礦機器人來。
『貳』 請問怎麼防止sql注入
避免sql注入式漏洞的方法:
對用戶的任何輸入都必須進行相應的驗證，和特殊字元的轉義，對單引號 雙引號的轉換 ，對用戶輸入數據的長度進行合理的限制 對用戶輸入的數據類型進行驗證
盡量少拼接sql語句，多採用參數化的sql
禁止使用管理員許可權賬號連接資料庫
重要信息存入資料庫前，進行適當的加密，對大批導出數據，進行合理的限制
前端友好提示，禁止直接拋出系統異常
請採納！
『叄』 如何防止sql注入攻擊
1，避免將用戶提供的輸入直接放入SQL語句中，最好使用准備好的語句和參數化查詢，這樣更加安全。
2，不要將敏感數據保存在純文本中，加密存儲在資料庫中的私有或機密數據，這樣可以提供另一級保護，以防止攻擊者成功地排出敏感數據。
3，將資料庫用戶的功能設置為最低要求，這將限制攻擊者在設法獲取訪問許可權時可以執行的操作。
4，避免直接向用戶顯示資料庫錯誤，攻擊者可以使用這些錯誤消息來獲取有關資料庫的信息。
5，對訪問資料庫的Web應用程序使用防火牆，這樣可以為面向Web的應用程序提供保護，可以幫助識別SQL注入嘗試;根據設置，還可以幫助防止SQL注入嘗試到達應用程序。
6，定期測試與資料庫交互的Web應用程序，這樣做可以幫助捕獲可能允許SQL注入的新錯誤或回歸。
7，將資料庫更新為最新的可用修補程序，這可以防止攻擊者利用舊版本中存在的已知弱點或錯誤。
『肆』 如何從根本上防止 SQL 注入
SQL注入並不是一個在SQL內不可解決的問題，這種攻擊方式的存在也不能完全歸咎於SQL這種語言，因為注入的問題而放棄SQL這種方式也是因噎廢食。首先先說一個我在其他回答中也曾提到過的觀點：沒有（運行時）編譯，就沒有注入。
SQL注入產生的原因，和棧溢出、XSS等很多其他的攻擊方法類似，就是未經檢查或者未經充分檢查的用戶輸入數據，意外變成了代碼被執行。針對於SQL注入，則是用戶提交的數據，被資料庫系統編譯而產生了開發者預期之外的動作。也就是，SQL注入是用戶輸入的數據，在拼接SQL語句的過程中，超越了數據本身，成為了SQL語句查詢邏輯的一部分，然後這樣被拼接出來的SQL語句被資料庫執行，產生了開發者預期之外的動作。
所以從根本上防止上述類型攻擊的手段，還是避免數據變成代碼被執行，時刻分清代碼和數據的界限。而具體到SQL注入來說，被執行的惡意代碼是通過資料庫的SQL解釋引擎編譯得到的，所以只要避免用戶輸入的數據被資料庫系統編譯就可以了。
現在的資料庫系統都提供SQL語句的預編譯（prepare）和查詢參數綁定功能，在SQL語句中放置佔位符'?'，然後將帶有佔位符的SQL語句傳給資料庫編譯，執行的時候才將用戶輸入的數據作為執行的參數傳給用戶。這樣的操作不僅使得SQL語句在書寫的時候不再需要拼接，看起來也更直接，而且用戶輸入的數據也沒有機會被送到資料庫的SQL解釋器被編譯執行，也不會越權變成代碼。
至於為什麼這種參數化的查詢方式沒有作為默認的使用方式，我想除了兼容老系統以外，直接使用SQL確實方便並且也有確定的使用場合。
『伍』 如何避免代碼中出現sql注入
普通用戶與系統管理員用戶的許可權要有嚴格的區分。
如果一個普通用戶在使用查詢語句中嵌入另一個Drop Table語句，那麼是否允許執行呢?由於Drop語句關繫到資料庫的基本對象，故要操作這個語句用戶必須有相關的許可權。在許可權設計中，對於終端用戶，即應用軟體的使用者，沒有必要給他們資料庫對象的建立、刪除等許可權。那麼即使在他們使用SQL語句中帶有嵌入式的惡意代碼，由於其用戶許可權的限制，這些代碼也將無法被執行。故應用程序在設計的時候，
強迫使用參數化語句。
如果在編寫SQL語句的時候，用戶輸入的變數不是直接嵌入到SQL語句。而是通過參數來傳遞這個變數的話，那麼就可以有效的防治SQL注入式攻擊。也就是說，用戶的輸入絕對不能夠直接被嵌入到SQL語句中。與此相反，用戶的輸入的內容必須進行過濾，或者使用參數化的語句來傳遞用戶輸入的變數。參數化的語句使用參數而不是將用戶輸入變數嵌入到SQL語句中。採用這種措施，可以杜絕大部分的SQL注入式攻擊。不過可惜的是，現在支持參數化語句的資料庫引擎並不多。不過資料庫工程師在開發產品的時候要盡量採用參數化語句。
多多使用SQL Server資料庫自帶的安全參數。
為了減少注入式攻擊對於SQL Server資料庫的不良影響，在SQLServer資料庫專門設計了相對安全的SQL參數。在資料庫設計過程中，工程師要盡量採用這些參數來杜絕惡意的SQL注入式攻擊。
如在SQL Server資料庫中提供了Parameters集合。這個集合提供了類型檢查和長度驗證的功能。如果管理員採用了Parameters這個集合的話，則用戶輸入的內容將被視為字元值而不是可執行代碼。即使用戶輸入的內容中含有可執行代碼，則資料庫也會過濾掉。因為此時資料庫只把它當作普通的字元來處理。使用Parameters集合的另外一個優點是可以強制執行類型和長度檢查，范圍以外的值將觸發異常。如果用戶輸入的值不符合指定的類型與長度約束，就會發生異常，並報告給管理員。如上面這個案例中，如果員工編號定義的數據類型為字元串型，長度為10個字元。而用戶輸入的內容雖然也是字元類型的數據，但是其長度達到了20個字元。則此時就會引發異常，因為用戶輸入的內容長度超過了資料庫欄位長度的限制。
加強對用戶輸入的驗證。
總體來說，防治SQL注入式攻擊可以採用兩種方法，一是加強對用戶輸入內容的檢查與驗證;二是強迫使用參數化語句來傳遞用戶輸入的內容。在SQLServer資料庫中，有比較多的用戶輸入內容驗證工具，可以幫助管理員來對付SQL注入式攻擊。測試字元串變數的內容，只接受所需的值。拒絕包含二進制數據、轉義序列和注釋字元的輸入內容。這有助於防止腳本注入，防止某些緩沖區溢出攻擊。測試用戶輸入內容的大小和數據類型，強制執行適當的限制與轉換。這即有助於防止有意造成的緩沖區溢出，對於防治注入式攻擊有比較明顯的效果。
如可以使用存儲過程來驗證用戶的輸入。利用存儲過程可以實現對用戶輸入變數的過濾，如拒絕一些特殊的符號。如以上那個惡意代碼中，只要存儲過程把那個分號過濾掉，那麼這個惡意代碼也就沒有用武之地了。在執行SQL語句之前，可以通過資料庫的存儲過程，來拒絕接納一些特殊的符號。在不影響資料庫應用的前提下，應該讓資料庫拒絕包含以下字元的輸入。如分號分隔符，它是SQL注入式攻擊的主要幫凶。如注釋分隔符。注釋只有在數據設計的時候用的到。一般用戶的查詢語句中沒有必要注釋的內容，故可以直接把他拒絕掉，通常情況下這么做不會發生意外損失。把以上這些特殊符號拒絕掉，那麼即使在SQL語句中嵌入了惡意代碼，他們也將毫無作為。
多層環境如何防治SQL注入式攻擊?
在多層應用環境中，用戶輸入的所有數據都應該在驗證之後才能被允許進入到可信區域。未通過驗證過程的數據應被資料庫拒絕，並向上一層返回一個錯誤信息。實現多層驗證。對無目的的惡意用戶採取的預防措施，對堅定的攻擊者可能無效。更好的做法是在用戶界面和所有跨信任邊界的後續點上驗證輸入。如在客戶端應用程序中驗證數據可以防止簡單的腳本注入。但是，如果下一層認為其輸入已通過驗證，則任何可以繞過客戶端的惡意用戶就可以不受限制地訪問系統。故對於多層應用環境，在防止注入式攻擊的時候，需要各層一起努力，在客戶端與資料庫端都要採用相應的措施來防治SQL語句的注入式攻擊。
『陸』 如何從根本上防止 SQL 注入
也許可以這樣回答你，如果能保證應用不使用「用戶輸入的字元串」來拼接成為 「向SQL 伺服器發送的SQL執行字元串」 的話，就可以從根本上防止SQL注入。
一、SQL語言的機理：
1、當前主流的幾大資料庫伺服器的數據存、取、匯總控制，都使用一種文本語句「SQL」語句。
2、當客戶端需要數據，或需要發送數據，或需要匯總數據時，都可以向資料庫發送這種標準的描述性文本，比如向資料庫發送 「select * from bas1.dbo.tab1」就是告訴資料庫，我要取「資料庫bas1」中的「tab1」表中的 所有欄位（用「*」通配來代表）的所有記錄（因為沒有加限制條件）。
二、產生SQL注入的基礎：
1、如果客戶端設計者沒有關注SQL注入方面的問題，就有可能在將用戶輸入進行拼接成SQL語句，並發送到伺服器端時，產生惡意的SQL可執行語句。
2、舉例說明：某個網頁上有個修改用戶密碼口令的功能，正常情況下下，用戶輸入原口令，與將要改成的口令，然後對用戶進行修改。用戶正常情況下輸入簡單的字串作為口令，比如「abcdef」，最終，合成向伺服器發送的語句可能為：
update UserTab set password = 'abcdef' where id=222
3、然而，有個人很淘氣，它輸入的字串為
abcdef' --
那麼，合成的發送給伺服器的語句就成了：
update UserTab set password = 'abcdef' --『 where id=222
這條句語一但發向伺服器，其結果是，所有的人的密碼都將變成 abcdef。
4、當然了，上面只是舉了一個例子，以便於你理解什麼是SQL注入。
（絕大多數應用的口令字串都是要進行加密的，所以，這個例子起僅在：
初級用戶寫的，明文存密碼，沒有注意SQL注入。這些條件合適時才起作用。）
5、同理，你可以想出很多的相關的東西，比如在修改用戶姓名的地方……
三、防止SQL注入的一些辦法：
1、客戶端接收到用戶輸入後，進行一次核查，不讓用戶輸入能產生SQL歧義的字元。比如禁止使用任何英文符號作為密碼、姓名等等。
2、盡可能減少用戶的直接字元的輸入，通配查詢，等。
『柒』 什麼是sql注入，如何防止sql注入
SQL注入，就是通過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令。具體來說，它是利用現有應用程序，將（惡意）的SQL命令注入到後台資料庫引擎執行的能力，它可以通過在Web表單中輸入（惡意）SQL語句得到一個存在安全漏洞的網站上的資料庫，而不是按照設計者意圖去執行SQL語句。比如先前的很多影視網站泄露VIP會員密碼大多就是通過WEB表單遞交查詢字元暴出的，這類表單特別容易受到SQL注入式攻擊．
SQL注入攻擊實例：
比如在一個登錄界面，要求輸入用戶名和密碼：
可以這樣輸入實現免帳號登錄：
用戶名： 『or 1 = 1 –
密 碼：
點登陸,如若沒有做特殊處理,那麼這個非法用戶就很得意的登陸進去了.(當然現在的有些語言的資料庫API已經處理了這些問題)
這是為什麼呢? 下面我們分析一下：
從理論上說，後台認證程序中會有如下的SQL語句：
String sql = "select * from user_table where username=
' "+userName+" ' and password=' "+password+" '";
當輸入了上面的用戶名和密碼，上面的SQL語句變成：
SELECT * FROM user_table WHERE username=
'』or 1 = 1 -- and password='』
分析SQL語句：
條件後面username=」or 1=1 用戶名等於 」 或1=1 那麼這個條件一定會成功；
然後後面加兩個-，這意味著注釋，它將後面的語句注釋，讓他們不起作用，這樣語句永遠都能正確執行，用戶輕易騙過系統，獲取合法身份。
這還是比較溫柔的，如果是執行
SELECT * FROM user_table WHERE
username='' ;DROP DATABASE (DB Name) --' and password=''
….其後果可想而知…
防SQL注入：
下面我針對JSP，說一下應對方法：
1.（簡單又有效的方法）PreparedStatement
採用預編譯語句集，它內置了處理SQL注入的能力，只要使用它的setXXX方法傳值即可。
使用好處：
(1).代碼的可讀性和可維護性.
(2).PreparedStatement盡最大可能提高性能.
(3).最重要的一點是極大地提高了安全性.
原理：
sql注入只對sql語句的准備(編譯)過程有破壞作用
而PreparedStatement已經准備好了,執行階段只是把輸入串作為數據處理,
而不再對sql語句進行解析,准備,因此也就避免了sql注入問題.
2.使用正則表達式過濾傳入的參數
要引入的包：
import java.util.regex.*;
正則表達式：
private String CHECKSQL = 「^(.+)\sand\s(.+)|(.+)\sor(.+)\s$」;
判斷是否匹配：
Pattern.matches(CHECKSQL,targerStr);
下面是具體的正則表達式：
檢測SQL meta-characters的正則表達式 ：
/(\%27)|(』)|(--)|(\%23)|(#)/ix
修正檢測SQL meta-characters的正則表達式 ：/((\%3D)|(=))[^ ]*((\%27)|(』)|(--)|(\%3B)|(:))/i
典型的SQL 注入攻擊的正則表達式 ：/w*((\%27)|(』))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix
檢測SQL注入，UNION查詢關鍵字的正則表達式 ：/((\%27)|(』))union/ix(\%27)|(』)
檢測MS SQL Server SQL注入攻擊的正則表達式：
/exec(s|+)+(s|x)pw+/ix
等等…..
3.字元串過濾
比較通用的一個方法：
（||之間的參數可以根據自己程序的需要添加）
publicstaticbooleansql_inj(Stringstr)
{
Stringinj_str="'|and|exec|insert|select|delete|update|
count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";
Stringinj_stra[]=split(inj_str,"|");
for(inti=0;i<inj_stra.length;i++)
{
if(str.indexOf(inj_stra[i])>=0)
{
returntrue;
}
}
returnfalse;
}
『捌』 如何防止sql注入
額，這是我老師給的答案 答：過濾一些常見的資料庫操作關鍵字, select ,insert,update,delete,and,*等或通過系統函數addslashes對內容進行過濾 php配置文件中register_globals=off;設置為關閉狀態.(作用將注冊全局變數關閉);如接收POST表單的值使用$_POST['user'],假設設置為ON的話$user才接收值 sql語句書寫的時候盡量不要省略小引號(tab上面那個)和單引號 提高資料庫命名技巧,對於一些重要的欄位根據程序的特點命名,使之不易被猜中 對於常的方法加以封裝,避免直接暴漏SQL語句 開啟PHP安全模式safe_mode=on 打開magic_quotes_gpc來防止SQL注入,默認為關閉,開啟後自動把用戶提交sql查詢語句進行轉換把"'"轉換成"\'" 控制錯誤信息輸出,關閉錯誤信息提示,將錯誤信息寫到系統日誌 使用MYSQLI或PDO預處理
『玖』 如何防止SQL注入漏洞
1、過濾掉一些常見的資料庫操作關鍵字：select,insert,update,delete,and,*等
或者通過系統函數：addslashes(需要被過濾的內容)來進行過濾。
2、在PHP配置文件中
Register_globals=off;設置為關閉狀態 //作用將注冊全局變數關閉。
比如：接收POST表單的值使用$_POST['user'],如果將register_globals=on;直接使用$user可以接收表單的值。
3、SQL語句書寫的時候盡量不要省略小引號(tab鍵上面那個)和單引號
4、提高資料庫命名技巧，對於一些重要的欄位根據程序的特點命名，取不易被猜到的
5、對於常用的方法加以封裝，避免直接暴漏SQL語句
6、開啟PHP安全模式
Safe_mode=on;
7、打開magic_quotes_gpc來防止SQL注入
Magic_quotes_gpc=off;默認是關閉的，它打開後將自動把用戶提交的sql語句的查詢進行轉換，把'轉為\'，這對防止sql注入有重大作用。
因此開啟：magic_quotes_gpc=on;
8、控制錯誤信息
關閉錯誤提示信息，將錯誤信息寫到系統日誌。
9、使用mysqli或pdo預處理