小猿圈浅谈web安全之SQL注入

对于飞速发展的互联网来说，大多数年轻人对于IT行业也比较热衷，不仅前景好，薪资也是越来越高的，促进许多朋友在学习编程技术，但是没有好的方向，今天小猿圈web安全讲师给你讲解web安全之SQL注入，在学的过程中不白费时间少走弯路。

SQL注入，就是通过把SQL命令插入到Web表单递交或者输入域名或者页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比方先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．

SQL注入原理

当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击。假如代码使用存储过程，而这些存储过程作为包含未挑选的客户输入的字符串来传递，也会发生sql注入。

sql注入可能导致攻击者使用应用程序登陆在数据库中执行命令。假如应用程序使用特权过高的帐户连接到数据库，这种问题会变得很严重。在某些表单中，客户输入的内容直接用来构造动态sql命令，或者者作为存储过程的输入参数，这些表单特别容易受到sql注入的攻击。而许多网站程序在编写时，没有对客户输入的合法性进行判断或者者程序中本身的变量解决不当，使应用程序存在安全隐患。这样，客户即可以提交一段数据库查询的代码， 根据程序返回的结果，取得少量敏感的信息或者者控制整个服务器，于是sql注入就发生了。

如何防止SQL注入？

永远不要信任客户的输入。对客户的输入进行校验，可以通过正则表达式，或者限制长度的方式进行解决；而后对单引号和双”-“等敏感符号进行转换等。

不要使用动态拼装sql，可以使用参数化的sql或者者直接使用存储过程进行数据查询存取。

永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

不要把机密信息直接存放，加密或者者hash掉密码和敏感的信息。

应用的异常信息应该给出尽可能少的提醒，最好使用自己设置的错误信息对原始错误信息进行包装。

最后想要理解更多关于web安全方面内容的小伙伴，请关注小猿圈官网IT职业在线学习教育平台为您提供更多开发环境调试视频等等，希望在你自学web安全中帮助你指导方向，少走弯路。