这是我参与「第五届青训营 」笔记创作活动的第 15 天 。
因为青训营项目有防SQL注入的拓展功能，所以这篇文章记录一下SQL注入的相关知识。
SQL注入的原理
SQL 注入的原理主要有以下 4 点：
1）恶意拼接查询
直接在输入内容处拼接查询。
代码中的查询语句为：
SELECT * FROM users WHERE user_id = $user_id
其中，user_id 是传入的参数，如果传入的参数值为“123456; DELETE FROM users”，那么最终的查询语句会变为：
SELECT * FROM users WHERE user_id = 123456; DELETE FROM users
如果以上语句执行，则会删除 users 表中的所有数据。
PS：不过现在的数据库都有防止整张表数据删除的限制，所以这种情况在有限制权限的数据库一般不会发生。
2）利用注释执行非法命令。
SQL 语句中可以插入注释。例如：
SELECT COUNT(*) AS 'num' FROM game_score WHERE game_id=24411 AND version=$version
如果 version 包含了恶意的字符串'-1' OR 3 AND SLEEP(500)--，那么最终查询语句会变为：
SELECT COUNT(*) AS 'num' FROM game_score WHERE game_id=24411 AND version='-1' OR 3 AND SLEEP(500)--
以上恶意查询只是想耗尽系统资源，SLEEP(500) 将导致 SQL 语句一直运行。如果其中添加了修改、删除数据的恶意指令，那么将会造成更大的破坏。
3）传入非法参数
SQL 语句中传入的字符串参数是用单引号引起来的，如果字符串本身包含单引号而没有被处理，那么可能会篡改原本 SQL 语句的作用。 例如：
SELECT * FROM user_name WHERE user_name = $user_name
如果 user_name 传入参数值为 G'chen，那么最终的查询语句会变为：
SELECT * FROM user_name WHERE user_name ='G'chen'
一般情况下，以上语句会执行出错，如果没有错误处理函数，将导致后面的操作紊乱或停止。
4）添加额外条件
在 SQL 语句中添加一些额外条件，以此来改变执行行为。条件一般为真值表达式。例如：
UPDATE users SET userpass='$userpass' WHERE user_id=$user_id;
如果 user_id 被传入恶意的字符串“1234 OR TRUE”，那么最终的 SQL 语句会变为：
UPDATE users SET userpass= '123456' WHERE user_id=1234 OR TRUE;
这将更改所有用户的密码。
避免SQL注入
对于 SQL 注入，我们可以采取适当的预防措施来保护数据安全。下面是避免 SQL 注入的一些方法。
1. 过滤输入内容，校验字符串
过滤输入内容就是在数据提交到数据库之前，就把用户输入中的不合法字符剔除掉。可以使用编程语言提供的处理函数或自己的处理函数来进行过滤，还可以使用正则表达式匹配安全的字符串。
如果值属于特定的类型或有具体的格式，那么在拼接 SQL 语句之前就要进行校验，验证其有效性。比如对于某个传入的值，如果可以确定是整型，则要判断它是否为整型，在浏览器端（客户端）和服务器端都需要进行验证。
2. 参数化查询
参数化查询目前被视作是预防 SQL 注入攻击最有效的方法。参数化查询是指在设计与数据库连接并访问数据时，在需要填入数值或数据的地方，使用参数（Parameter）来给值。
MySQL 的参数格式是以“?”字符加上参数名称而成，如下所示：
UPDATE myTable SET c1 = ?c1, c2 = ?c2, c3 = ?c3 WHERE c4 = ?c4
在使用参数化查询的情况下，数据库服务器不会将参数的内容视为 SQL 语句的一部分来进行处理，而是在数据库完成 SQL 语句的编译之后，才套用参数运行。因此就算参数中含有破坏性的指令，也不会被数据库所运行。
3. 避免使用动态SQL
避免将用户的输入数据直接放入 SQL 语句中，最好使用准备好的语句和参数化查询，这样更安全。
4. 加密数据
加密存储在数据库中的私有/机密数据。
5. 限制数据库权限
将数据库用户的功能设置为最低要求。
