使用參數化查詢防止SQL注入漏洞

標籤：資料庫   過程   英文   字元   別人   name   命令   dmi   href   

參數化查詢防止SQL注入漏洞

看別人的登入註冊sql語句有沒漏洞即可

 

Where  name=‘admin’ or ‘1=1’ and password=’123’;

 

可以Or ‘1=1’就是漏洞

http://jingyan.baidu.com/article/27fa7326f53ea746f9271f79.html

以往的防禦方式

以前對付這種漏洞的方式主要有三種：

l        字串檢測：限定內容只能由英文、數字等常規字元，如果檢查到使用者輸入有特殊字元，直接拒絕。但缺點是，系統 中不可避免地會有些內容包含特殊字元，這時候總不能拒絕入庫。

l        字串替換：把危險字元替換成其他字元，缺點是危險字元可能有很多，一一枚舉替換相當麻煩，也可能有漏網之 魚。

l        預存程序：把參數傳到預存程序進行處理，但並不是所有資料庫都支援預存程序。如果預存程序中執行的命令也是通 過拼接字串出來的，還是會有漏洞。

參數化查詢

近年來，自從參數化查詢出現後，SQL注入漏洞已成明日黃花

使用參數化查詢防止SQL注入漏洞