㈠ sql注入时字符串被转义怎么突破
假如查询操作频率不高，偶尔才会执行一次，那么最多只会占用一个数据库链接，并且在执行成功之后，程序打开的数据库链接对象即会被释放，这样对应用系统不会有什么影响。假如执行频率很高的话，可能会过快的占满全部数据库链接，导致其它数据库访问操作不能正常执行，如果发生这种现象的话，就会导致整个系统短时间内出现假死的现象，而这是绝对不可接受的。
㈡ 什么是sql注入如何防止sql注入
SQL注入是一种非常常见的数据库攻击手段，同时也是网络世界中最普遍的漏洞之一，简单理解就是恶意用户通过在表单中填写包含SQL关键字的数据来使数据库执行非常规代码的过程。
问题来源是，SQL数据库的操作是通过SQL语句来执行的，而无论是执行代码还是数据项都必须写在SQL语句中，也就导致如果我们在数据项中加入了某些SQL语句关键字，比如SELECT、DROP等，这些关键字就很有可能在数据库写入或读取数据时得到执行。
解决方案
方案一：
采用预编译技术
使用预编译的SQL语句，SQL语句的语义不会是不会发生改变的。预编译语句在创建的时候就已经将指定的SQL语句发送给了DBMS，完成了解析，检查，编译等工作，所以攻击者无法改变SQL语句的结构，只是把值赋给?，然后将?这个变量传给SQL语句。当然还有一些通过预编译绕过某些安全防护的操作，大家感兴趣可以去搜索一下。
方案二：
严格控制数据类型
在java、c等强类型语言中一般是不存在数字型注入的，因为在接受到用户输入id时，代码一般会做一个int id 的数据类型转换，假如我们输入的是字符串的话，那么这种情况下，程序就会报错。但是在PHP、ASP这些没有强调处理数据类型的语言，一般我们看到的接收id的代码都是如下等代码。
方案三：
对特殊的字符进行转义
数字型注入可以通过检查数据类型防止，但是字符型不可以，那么怎么办呢，最好的办法就是对特殊的字符进行转义了。比如在MySQL中我们可以对" '
"进行转义，这样就防止了一些恶意攻击者来闭合语句。当然我们也可以通过一些安全函数来转义特殊字符。如addslashes()等，但是这些函数并非一劳永逸，攻击者还可以通过一些特殊的方式绕过。
㈢ sql注入与转义的php函数代码
sql注入:
正常情况下:
delete.php?id=3;
$sql
=
'delete
from
news
where
id
=
'.$_GET['id'];
恶意情况:
delete.php?id=3
or
1;
$sql
=
'delete
from
news
where
id
=
3
or
1';
-------如此执行后，所有的记录将都被删除
应该采取相关措施。。。比如用之前先判断是否是数字等等。
要使自己相信，从客户端传来的信息永远是不可靠的！！
转义:
有时候从客户端传来的数据，可能恶意包含些特殊的字符，比如单引号、斜杠等，所以需要转义，转义成普通的字符，此时就要用到string
addslashes
(
string
$str
)，这个函数可以对某个变量进行转义。但是，如果对数组里的元素进行转义，就用foreach循环数组，如下：
复制代码
代码如下:
foreach($_POST
as
$k=>$v)
{
if(is_string($v))
{
$_POST[$k]
=
addslashes($v);
}
}
但是如果数组中还包含数组，那就要递归进行转义了，此时用到
array_walk_recursive(array
&$input
,
callback
$funcname
[,
mixed
$userdata
])
将用户自定义函数
funcname
应用到
array
数组中的每个单元。本函数会递归到更深层的数组中去。典型情况下
funcname
接受两个参数。input
参数的值作为第一个，键名作为第二个。如果提供了可选参数
userdata，将被作为第三个参数传递给
callback
funcname。成功时返回
TRUE，
或者在失败时返回
FALSE
也就是说：用自定义的函数，至少要能接收两个参数，而addslashes（）只能接收一个参数所以自定义一个函数如下:
复制代码
代码如下:
function
a(&$v,$k){
$v=addslashes($v);
}
array_walk_recursive(&$arr,'a');
系统自动转义:
PHP中,有一个魔术引号的概念,如何打开?答:在PHP.ini中,magic_quotes_gpc=On;重启apache即可
魔术引号被打开后，系统会自动对$_GET,$_POST,$_COOKIE数据进行转义，在不知情的情况下，再次进行手动转义的话，就转多了，要想合理的进行转义，就要首先判断，魔术符号是否已经打开了，用magic_quotes_gpc()进行判断，不需要传值，关闭返回0，关闭返回1
复制代码
代码如下:
if(!get_magic_quotes_gpc())
{
//
如果魔术引号没开
function
_addslashes(&$v,$k)
{
$v
=
addslashes($v);
}
array_walk_recursive(&$_GET,'_addslashes');
array_walk_recursive(&$_POST,'_addslashes');
array_walk_recursive(&$_COOKIE,'_addslashes');
}
㈣ jfinal 怎么防止sql注入
数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原
在显示的时候对非法字符进行转义
如果项目还处在起步阶段，建议使用第二种，直接使用jstl的<c:out>标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。
㈤ 大家畅所欲言，当jFinal遇到XSS和SQL注入怎么处理
数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原
在显示的时候对非法字符进行转义
如果项目还处在起步阶段，建议使用第二种，直接使用jstl的<c:out>标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。
附：Javascript方法：
String.prototype.escapeHTML = function () {
return this.replace(/&/g, ‘&’).replace(/>/g, ‘>’).replace(/</g, ‘<’).replace(/”/g, ‘"’);
}
如果项目已经开发完成了，又不想大批量改动页面的话，可以采用第一种方法，此时需要借助Spring MVC的@InitBinder以及org.apache.commons.lang.PropertyEditorSupport、org.apache.commons.lang.StringEscapeUtils
public class StringEscapeEditor extends PropertyEditorSupport {
private boolean escapeHTML;
private boolean escapeJavaScript;
private boolean escapeSQL;
public StringEscapeEditor() { super(); }
public StringEscapeEditor(boolean escapeHTML, boolean escapeJavaScript, boolean escapeSQL) {
super();
this.escapeHTML = escapeHTML;
this.escapeJavaScript = escapeJavaScript;
this.escapeSQL = escapeSQL;
}
@Override
public void setAsText(String text) {
if (text == null) {
setValue(null);
㈥ sql注入攻击方法有哪些
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。常见的SQL注入式攻击过程类如：
⑴ 某个ASP.NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。
⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令，或者直接用作存储过程的参数。
㈦ php中防止SQL注入，该如何解决
防sql注入的一个简单方法就是使用框架，一般成熟框架中会集成各种安全措施。
当然也可以自己处理，如果用户的输入能直接插入到SQL语句中，那么这个应用就易收到SQL注入的攻击。我认为最重要的一点，就是要对数据类型进行检查和转义。
php.ini
------------
display_errors 选项，应该设为display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。
打开magic_quotes_gpc来防止SQL注入，magic_quotes_gpc= Off，这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，比如把 ' 转为 '等，对于防止sql注射有重大作用。如果magic_quotes_gpc=Off，则使用addslashes()函数。
mysql 函数
---------------
调用mysql_query 等mysql 函数时，前面应该加上 @，即 @mysql_query(...)，这样 mysql 错误不会被输出。同理以免让攻击者分析出有用的信息。另外，有些程序员在做开发时，当mysql_query出错时，习惯输出错误以及sql 语句。
mysql_real_escape_string -- 转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集。
Sql语句
------------
对提交的 sql 语句，进行转义和类型检查。如果请求是数值型，那么调用is_numeric() 判断是否为数值。如果不是，则返回程序指定的默认值。简单起见，对于文本串，我将用户输入的所有危险字符（包括HTML代码），全部转义。由于php 函数addslashes()存在漏洞，我用str_replace()直接替换。get_magic_quotes_gpc()函数是php 的函数，用来判断magic_quotes_gpc 选项是否打开。
其它
---------
使用预处理语句和参数化查询（PDO或mysqli）。预处理语句和参数分别发送到数据库服务器进行解析，参数将会被当作普通字符处理。这种方式使得攻击者无法注入恶意的SQL。
㈧ Spring MVC中，遇到XSS、SQL注入攻击怎么处理
1、在数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原；
2、在显示的时候对非法字符进行转义；
如果项目还处在起步阶段，建议使用第二种，直接使用jstl的标签即可解决非法字符的问题。在解析从服务器端获取的数据时执行以下escapeHTML()即可。
来源：麦子学院
㈨ sql注入'被转义
把’替换成 %27 试试～
㈩ mybatis 怎么解决 sql注入
通过对参数进行转义：
比如如下的sql prdtNo这个参数如果包含可能会引起sql注入的字符时，mybatis会对其进行转义
<selectid="queryCustomerDetail"resultMap="customerInfoMap">
select
<includerefid="Base_LinkColimn_list"/>
fromFSP_CUSTOMER_INFOiinnerjoinFSP_CUST_RELATIONr
oni.id=r.cust_idwherei.CIF_NO=#{cifNo,jdbcType=VARCHAR}
andr.PRODUCT_NO=#{prdtNo,jdbcType=VARCHAR}
</select>