71.如何避免 sql 注入?

避免SQL注入的方法包括使用参数化查询、输入验证和过滤、限制数据库权限、使用预编译语句等。

在Web开发中，SQL注入是一种常见的安全问题，攻击者通过构造恶意的SQL语句，来篡改原有SQL语句的结构，从而达到非法访问、修改或删除数据库中的数据，为了避免SQL注入问题，本文将介绍一些有效的防范措施。

1、参数化查询

参数化查询是一种将用户输入的数据与SQL语句分离的方法，可以有效防止SQL注入，在编写代码时，使用占位符（如：？）代替用户输入的数据，然后在执行查询时，将用户输入的数据作为参数传递给查询，这样，即使用户输入了恶意的SQL语句，也无法改变查询的结构。

假设我们需要根据用户名和密码查询用户信息，可以使用以下代码：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";

PreparedStatement pstmt = connection.prepareStatement(sql);

pstmt.setString(1, username);

pstmt.setString(2, password);

ResultSet rs = pstmt.executeQuery();

2、使用预编译语句

预编译语句是一种将SQL语句预先编译好的技术，可以提高查询性能，同时也可以防止SQL注入，预编译语句的使用方法与参数化查询类似，都是使用占位符代替用户输入的数据，预编译语句需要先将SQL语句编译好，然后再执行查询。

假设我们需要根据用户名和密码查询用户信息，可以使用以下代码：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";

PreparedStatement pstmt = connection.prepareStatement(sql);

pstmt.setString(1, username);

pstmt.setString(2, password);

ResultSet rs = pstmt.executeQuery();

3、对用户输入进行验证和过滤

在接收用户输入时，可以对其进行验证和过滤，以防止恶意数据进入数据库，验证和过滤的方法包括：限制输入长度、检查输入格式、移除特殊字符等，需要注意的是，仅依靠验证和过滤是不够的，还需要结合参数化查询和预编译语句来确保数据库安全。

4、使用最新的数据库驱动和框架

使用最新的数据库驱动和框架可以帮助我们更好地防范SQL注入，因为这些驱动和框架通常会修复已知的安全漏洞，并提供一些安全功能，如自动转义用户输入、防止SQL注入等，建议定期更新数据库驱动和框架，以确保系统安全。

5、限制数据库权限

为了减少SQL注入攻击的危害，可以限制数据库用户的权限，只赋予用户必要的权限，如查询、插入、更新等，避免用户拥有删除、修改等高危操作的权限，还可以为不同的用户分配不同的数据库角色，以实现更细粒度的权限控制。

6、使用安全的存储方法

在存储用户数据时，可以使用安全的存储方法，如加密、哈希等，以防止数据泄露，可以将用户的密码进行哈希处理，然后将哈希值存储在数据库中，当用户登录时，再对输入的密码进行哈希处理，并与数据库中的哈希值进行比较，如果哈希值相同，说明密码正确；否则，拒绝登录，这样，即使攻击者获取到了数据库中的哈希值，也无法直接获取到用户的密码。

7、定期备份和监控数据库