① 請問怎麼防止sql注入
避免sql注入式漏洞的方法:
對用戶的任何輸入都必須進行相應的驗證，和特殊字元的轉義，對單引號 雙引號的轉換 ，對用戶輸入數據的長度進行合理的限制 對用戶輸入的數據類型進行驗證
盡量少拼接sql語句，多採用參數化的sql
禁止使用管理員許可權賬號連接資料庫
重要信息存入資料庫前，進行適當的加密，對大批導出數據，進行合理的限制
前端友好提示，禁止直接拋出系統異常
請採納！
② 網站如何防止sql注入攻擊的解決辦法
首先我們來了解下什麼是SQL注入，SQL注入簡單來講就是將一些非法參數插入到網站資料庫中去，執行一些sql命令，比如查詢資料庫的賬號密碼，資料庫的版本，資料庫伺服器的IP等等的一些操作，sql注入是目前網站漏洞中危害最大的一個漏洞，受攻擊的網站佔大多數都是sql注入攻擊。
sql注入攻擊用英語來講Structured Query Language，在網站的編程語言當中是一種比較另類的網站開發語言，我們網站安全行業通常來講sql是用來資料庫查詢的一種網站開發語言，同時也是一種腳本文件的一個文件名，通俗來講sql就是用來對網站的資料庫進行查詢，以及增加，寫入，更新資料庫的一個sql資料庫操作。
關於資料庫我們分為2種資料庫，一種是關系資料庫，非關系資料庫，那麼目前網站使用的都是關系資料庫，關系資料庫分為sql資料庫，microsoft sql server資料庫，ACC資料庫，mysql資料庫，oracle資料庫，DB2資料庫，postgresql資料庫等等的關系資料庫，非關系資料庫分為nosql資料庫，可以存儲很大數據，針對於一些並發較高，存儲較多，雲計算的場景，頻繁讀取寫入的資料庫，像memcachedb,redis,mongodb等等非關系資料庫。
那麼什麼是sql注入呢？ 簡單來講就是對網站強行進行插入數據，執行sql惡意語句對網站進行攻擊，對網站進行sql注入嘗試，可以獲取一些私密的信息，像資料庫的版本，管理員的賬號密碼等等。
關於如何防止sql注入攻擊，我們從以下幾點開始入手
首先我們可以了解到sql注入攻擊都是通過拼接的方式，把一些惡意的參數拼接到一起，然後在網站的前端中插入，並執行到伺服器後端到資料庫中去，通常我們在寫PHP網站代碼的時候會將get ID這個參數值獲取到後直接拼接到後端伺服器中去，查詢資料庫，但是如果拼接了一些惡意的非法參數，那麼久可以當做sql語句來執行，如果防止sql注入呢？
為了防止網站被sql注入攻擊，我們應該從一開始寫代碼的時候就應該過濾一些sql注入的非法參數，將查詢的一些sql語句，以及用戶輸入的參數值都以字元串的方式來處理，不論用戶輸入的什麼東西，在sql查詢的時候只是一段字元串，這樣構造的任何惡意參數都會以字元串的方式去查詢資料庫，一直惡意的sql注入攻擊就不會被執行，sql注入語句也就沒有效果了，再一個就是網站里的任何一個可以寫入的地方盡可能的嚴格過濾與限制，漏下一個可以輸入的地方網站就會被攻擊，網站就會被黑，所有做的網站安全就會沒有效果，包括一些get,post,cookie方式的提交都是不可信的，像數據表裡referer user-agent等欄位都是可以偽造，寫入sql注入語句的，像前端時間爆發的ecshop漏洞利用的就是user.php,偽造referer參數進行了sql注入，執行了遠程代碼。
再一個防止sql注入的方法就是開啟PHP的魔術配置，開啟安全配置模式，將safe_mode開啟on.以及關閉全局變數模式，register_globals參數設置為on,magic_quotes_gpc參數開啟，防止sql注入.如果對網站防止sql注入不懂的話，也可以找專業的網站安全公司來做安全，防止sql注入。
③ SQL注入怎麼防範
SQL注入攻擊的危害很大，而且防火牆很難對攻擊行為進行攔截，主要的SQL注入攻擊防範方法，具體有以下幾個方面：
1、分級管理
對用戶進行分級管理，嚴格控制用戶的許可權，對於普通用戶，禁止給予資料庫建立、刪除、修改等相關許可權，只有系統管理員才具有增、刪、改、查的許可權。
2、參數傳值
程序員在書寫SQL語言時，禁止將變數直接寫入到SQL語句，必須通過設置相應的參數來傳遞相關的變數。從而抑制SQL注入。數據輸入不能直接嵌入到查詢語句中。同時要過濾輸入的內容，過濾掉不安全的輸入數據。或者採用參數傳值的方式傳遞輸入變數，這樣可以最大程度防範SQL注入攻擊。
3、基礎過濾與二次過濾
SQL注入攻擊前，入侵者通過修改參數提交and等特殊字元，判斷是否存在漏洞，然後通過select、update等各種字元編寫SQL注入語句。因此防範SQL注入要對用戶輸入進行檢查，確保數據輸入的安全性，在具體檢查輸入或提交的變數時，對於單引號、雙引號、冒號等字元進行轉換或者過濾，從而有效防止SQL注入。
當然危險字元有很多，在獲取用戶輸入提交參數時，首先要進行基礎過濾，然後根據程序的功能及用戶輸入的可能性進行二次過濾，以確保系統的安全性。
4、使用安全參數
SQL資料庫為了有效抑制SQL注入攻擊的影響。在進行SQLServer資料庫設計時設置了專門的SQL安全參數。在程序編寫時應盡量使用安全參數來杜絕注入式攻擊，從而確保系統的安全性。
5、漏洞掃描
為了更有效地防範SQL注入攻擊，作為系統管理除了設置有效的防範措施，更應該及時發現系統存在SQL攻擊安全漏洞。系統管理員可以采購一些SQL漏洞掃描工具，通過專業的掃描工具，可以及時的掃描到系統存在的相應漏洞。
6、多層驗證
現在的網站系統功能越來越龐大復雜。為確保系統的安全，訪問者的數據輸入必須經過嚴格的驗證才能進入系統，驗證沒通過的輸入直接被拒絕訪問資料庫，並且向上層系統發出錯誤提示信息。同時在客戶端訪問程序中驗證訪問者的相關輸入信息，從而更有效的防止簡單的SQL注入。但是如果多層驗證中的下層如果驗證數據通過，那麼繞過客戶端的攻擊者就能夠隨意訪問系統。因此在進行多層驗證時，要每個層次相互配合，只有在客戶端和系統端都進行有效的驗證防護，才能更好地防範SQL注入攻擊。
7、資料庫信息加密
傳統的加解密方法大致分為三種：對稱加密、非對稱加密、不可逆加密。
④ web前端怎麼防止代碼注入攻擊
三種方式：
一，HTML防注入。
一般的html注入都是在字元串中加入了html標簽，用下JAVA代碼可以去掉這部分代碼。
代碼如下，自己封裝成方法即可。
String msge = "asdasdasdasd <div id="f">asdfsdf";
System.out.println(msge);
msge = msge.replace("&", "&");
msge = msge.replace("<", "<");
msge = msge.replace(" ", " ");
msge = msge.replace(">", ">");
msge = msge.replace(""", """);
msge = msge.replace("'", "&qpos;");
System.out.println(msge);
二、防SQL注入
最簡單最容易的是限制用戶輸入。
簡單點的就是不允許用戶輸入單引號 和 --，因為單引號號--在SQL中都是影響執行的。
但SQL注入是多方面的，防止的方法也有很多種。
1、地址欄禁止特殊字元防SQL注入
把特殊字元（如and、or、'、"）都禁止提交就可以防止注入了。
2、php過濾html字元串，防止SQL注入
批量過濾post,get敏感數據
$_GET = stripslashes_array($_GET);
$_POST = stripslashes_array($_POST);
數據過濾函數
function stripslashes_array(&$array) {
while(list($key,$var) = each($array)) {
if ($key != 'argc' && $key != 'argv' && (strtoupper($key) != $key || ''.intval($key) == "$key")) {
if (is_string($var)) {
$array[$key] = stripslashes($var);
}
if (is_array($var)) {
$array[$key] = stripslashes_array($var);
}
}
}
return $array;
}
3、替換HTML尾標簽
function lib_replace_end_tag($str)
{
if (empty($str)) return false;
$str = htmlspecialchars($str);
$str = str_replace( '/', "", $str);
$str = str_replace("\", "", $str);
$str = str_replace(">", "", $str);
$str = str_replace("<", "", $str);
$str = str_replace("<SCRIPT>", "", $str);
$str = str_replace("</SCRIPT>", "", $str);
$str = str_replace("<script>", "", $str);
$str = str_replace("</script>", "", $str);
$str=str_replace("select","select",$str);
$str=str_replace("join","join",$str);
$str=str_replace("union","union",$str);
$str=str_replace("where","where",$str);
$str=str_replace("insert","insert",$str);
$str=str_replace("delete","delete",$str);
$str=str_replace("update","update",$str);
$str=str_replace("like","like",$str);
$str=str_replace("drop","drop",$str);
$str=str_replace("create","create",$str);
$str=str_replace("modify","modify",$str);
$str=str_replace("rename","rename",$str);
$str=str_replace("alter","alter",$str);
$str=str_replace("cas","cast",$str);
$str=str_replace("&","&",$str);
$str=str_replace(">",">",$str);
$str=str_replace("<","<",$str);
$str=str_replace(" ",chr(32),$str);
$str=str_replace(" ",chr(9),$str);
$str=str_replace(" ",chr(9),$str);
$str=str_replace("&",chr(34),$str);
$str=str_replace("'",chr(39),$str);
$str=str_replace("<br />",chr(13),$str);
$str=str_replace("''","'",$str);
$str=str_replace("css","'",$str);
$str=str_replace("CSS","'",$str);
return $str;
}
三、專業的事情交給專業的工具去做。
安裝安全軟體。例如，在伺服器中安裝「伺服器安全狗」，可以設置防注入，防攻擊的設置，只要設置好安全規則，就可以屏蔽大多數攻擊入侵。
⑤ 求教大神，前端怎麼做一個防sql注入
不要拼接SQL語句，即防止傳入參數問題， 舉例： select * from a where password = ' + 變數 +'； 假如傳入的變數是： ' or 1=1 or 1='，那麼最後這個語句就是： select * from a where password = '' ' or 1=1 or 1=''
⑥ ASP.NET如何防止SQL注入
ASP.NET如何防止SQL注入
一、什麼是SQL注入式攻擊?
所謂SQL注入式攻擊，就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字元串，欺騙伺服器執行惡意的SQL命令。在某些表單中，用戶輸入的內容直接用來構造(或者影響)動態SQL命令，或作為存儲過程的輸入參數，這類表單特別容易受到SQL注入式攻擊。常見的SQL注入式攻擊過程類如：
⑴ 某個ASP.NET Web應用有一個登錄頁面，這個登錄頁面控制著用戶是否有權訪問應用，它要求用戶輸入一個名稱和密碼。
⑵ 登錄頁面中輸入的內容將直接用來構造動態的SQL命令，或者直接用作存儲過程的參數。下面是ASP.NET應用構造查詢的一個例子：
System.Text.StringBuilder query = new System.Text.StringBuilder(”select * from Users where login = ’”)。Append(txtLogin.Text)。Append(”’ AND password=’”)。Append(txtPassword.Text)。Append(”’”);
⑶ 攻擊者在用戶名字和密碼輸入框中輸入”’或’1’=’1″之類的內容。
⑷ 用戶輸入的內容提交給伺服器之後，伺服器運行上面的ASP.NET代碼構造出查詢用戶的SQL命令，但由於攻擊者輸入的內容非常特殊，所以最後得到的 SQL命令變成：select * from Users where login = ’’ or ’1’=’1’ AND password = ’’ or ’1’=’1’.
⑸ 伺服器執行查詢或存儲過程，將用戶輸入的身份信息和伺服器中保存的身份信息進行對比。
⑹ 由於SQL命令實際上已被注入式攻擊修改，已經不能真正驗證用戶身份，所以系統會錯誤地授權給攻擊者。
如果攻擊者知道應用會將表單中輸入的內容直接用於驗證身份的查詢，他就會嘗試輸入某些特殊的SQL字元串篡改查詢改變其原來的功能，欺騙系統授予訪問許可權。
系統環境不同，攻擊者可能造成的損害也不同，這主要由應用訪問資料庫的安全許可權決定。如果用戶的帳戶具有管理員或其他比較高級的許可權，攻擊者就可能對資料庫的表執行各種他想要做的操作，包括添加、刪除或更新數據，甚至可能直接刪除表。
二、如何防範?
好在要防止ASP.NET應用被SQL注入式攻擊闖入並不是一件特別困難的事情，只要在利用表單輸入的內容構造SQL命令之前，把所有輸入內容過濾一番就可以了。過濾輸入內容可以按多種方式進行。
⑴ 對於動態構造SQL查詢的場合，可以使用下面的技術：
第一：替換單引號，即把所有單獨出現的單引號改成兩個單引號，防止攻擊者修改SQL命令的含義。再來看前面的例子，”select * from Users where login = ’’’ or ’’1’’=’’1’ AND password = ’’’ or ’’1’’=’’1’”顯然會得到與”select * from Users where login = ’’ or ’1’=’1’ AND password = ’’ or ’1’=’1’”不同的結果。
第二：刪除用戶輸入內容中的所有連字元，防止攻擊者構造出類如”select * from Users where login = ’mas’ —— AND password =’’”之類的查詢，因為這類查詢的後半部分已經被注釋掉，不再有效，攻擊者只要知道一個合法的用戶登錄名稱，根本不需要知道用戶的.密碼就可以順利獲得訪問許可權。
第三：對於用來執行查詢的資料庫帳戶，限制其許可權。用不同的用戶帳戶執行查詢、插入、更新、刪除操作。由於隔離了不同帳戶可執行的操作，因而也就防止了原本用於執行select命令的地方卻被用於執行insert、update或delete命令。
⑵ 用存儲過程來執行所有的查詢。SQL參數的傳遞方式將防止攻擊者利用單引號和連字元實施攻擊。此外，它還使得資料庫許可權可以限制到只允許特定的存儲過程執行，所有的用戶輸入必須遵從被調用的存儲過程的安全上下文，這樣就很難再發生注入式攻擊了。
⑶ 限製表單或查詢字元串輸入的長度。如果用戶的登錄名字最多隻有10個字元，那麼不要認可表單中輸入的10個以上的字元，這將大大增加攻擊者在SQL命令中插入有害代碼的難度。
⑷ 檢查用戶輸入的合法性，確信輸入的內容只包含合法的數據。數據檢查應當在客戶端和伺服器端都執行——之所以要執行伺服器端驗證，是為了彌補客戶端驗證機制脆弱的安全性。
在客戶端，攻擊者完全有可能獲得網頁的源代碼，修改驗證合法性的腳本(或者直接刪除腳本)，然後將非法內容通過修改後的表單提交給伺服器。因此，要保證驗證操作確實已經執行，唯一的辦法就是在伺服器端也執行驗證。你可以使用許多內建的驗證對象，例如 RegularExpressionValidator，它們能夠自動生成驗證用的客戶端腳本，當然你也可以插入伺服器端的方法調用。如果找不到現成的驗證對象，你可以通過CustomValidator自己創建一個。
⑸ 將用戶登錄名稱、密碼等數據加密保存。加密用戶輸入的數據，然後再將它與資料庫中保存的數據比較，這相當於對用戶輸入的數據進行了”消毒”處理，用戶輸入的數據不再對資料庫有任何特殊的意義，從而也就防止了攻擊者注入SQL命令。 System.Web.Security.FormsAuthentication類有一個 ，非常適合於對輸入數據進行消毒處理。
⑹ 檢查提取數據的查詢所返回的記錄數量。如果程序只要求返回一個記錄，但實際返回的記錄卻超過一行，那就當作出錯處理。
;⑦ 如何防止sql注入攻擊
1，避免將用戶提供的輸入直接放入SQL語句中，最好使用准備好的語句和參數化查詢，這樣更加安全。
2，不要將敏感數據保存在純文本中，加密存儲在資料庫中的私有或機密數據，這樣可以提供另一級保護，以防止攻擊者成功地排出敏感數據。
3，將資料庫用戶的功能設置為最低要求，這將限制攻擊者在設法獲取訪問許可權時可以執行的操作。
4，避免直接向用戶顯示資料庫錯誤，攻擊者可以使用這些錯誤消息來獲取有關資料庫的信息。
5，對訪問資料庫的Web應用程序使用防火牆，這樣可以為面向Web的應用程序提供保護，可以幫助識別SQL注入嘗試;根據設置，還可以幫助防止SQL注入嘗試到達應用程序。
6，定期測試與資料庫交互的Web應用程序，這樣做可以幫助捕獲可能允許SQL注入的新錯誤或回歸。
7，將資料庫更新為最新的可用修補程序，這可以防止攻擊者利用舊版本中存在的已知弱點或錯誤。
⑧ 關於搜索框sql注入的問題，限制搜索框中只能輸入數字是不是能防止sql注入
這是一種前端js校驗的安全機制，在某種程度上是可以防止SQL注入的攻擊。正所謂一切的輸入都是罪惡的源泉，所以從輸入源頭盡量去規避一些風險是必要的。
但是在後端的程序中，也盡量使用成熟的框架，按照標準的開發規則去寫代碼，比如：不要使用${userName}這樣的方式變數出現在訪問資料庫的SQL語句中。
⑨ 請問怎麼避免sql注入
請出sql腳本的執行許可權
和sql腳本全部參數化上著手處理
sql注入防治方法
避免sql注入式漏洞的方法
1 對用戶的任何輸入都必須進行相應的驗證，和特殊字元的轉義，對單引號 雙引號的轉換 ，對用戶輸入數據的長度進行合理的限制 對用戶輸入的數據類型進行驗證
2 禁止拼接sql語句，多採用參數化的sql
3 禁止使用管理員許可權賬號連接資料庫
4 重要信息存入資料庫前，進行適當的加密，對大批導出數據，進行合理的限制
5 前端友好提示，禁止直接拋出系統異常
請採納！
⑩ 通過代碼限制輸入select，能防止sql注入了有繞過方法嗎
直接把符號的編碼轉換或者轉義可以了。一般sql注入根本用不到select，譬如賬號密碼你默認就是在where條件上進行查詢，如果人家or 1=1則默認真。另外也能通過UNION 返回的錯誤判斷返回值的數量和類型。如果沒限制 換行+GO 的話甚至能執行自己想要的SQL。但是這些最終都需要一個符號例如單引號"'"吧系統誤以為輸入框的內容已階段。如果轉義或者轉編碼後，最多就變成一段長字元而已