防SQL注入函数

最全防止sql注入方法（一）mysql_real_escape_string 转义sql语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集使用方法如下：$sql="select count(*) as ctr from users where username='".mysql_real_escape_string($username)."' and password='".mysql_real_escape_string($pw)."' limit 1";使用mysql_real_escape_string()作为用户输入的包装器，就可以避免用户输入中的恶意sql注入。

（二）打开magic_quotes_gpc来防止sql注入php.ini中有一个设置：magic_quotes_gpc=o这个默认是关闭的，打开后将自动把用户提交的对sql的查询进行转换，比如把'转换为\'等，对于防止sql注入有中的作用。

如果magix_quotes_gpc=off,则使用addslashes()函数。

（三）自定义函数function inject_check($sql_str){return eregi('select | insert | and | or | update | delete | \' | \/\* | \* | \.\.\/ | \.\/ | union | into | load_file | outfile', $sql_str);}function verify_id($id=null){if($id){exit('没有提交参数！');} else if(inject_check($id)){exit('提交的参数非法！');} else if(!is_numeric($id)){exit('提交的参数非法！');}$id = intval($id);return $id;}function str_check($str){if(!get_magic_quotes_gpc()){$str=addslashes($str);}$str=str_replace("_","\_",$str); $str=str_replace("%","\%",$str); return $str;}function post_check($post){if(!get_magic_quotes_gpc()){ $post=addslashes($post);}$post=str_replace("_","\_",$post); $post=str_replace("%","\%",$post); $post=n12br($post);$post=htmlspecialchars($post); return $str;}。

避免SQL注入三种主要方法SQL注入是一种常见的安全漏洞，攻击者可以通过恶意构造的输入数据来攻击数据库系统，获取敏感信息或者修改数据。

为了避免SQL注入攻击，可以采取以下三种主要方法：1.使用参数化查询参数化查询是最有效的防止SQL注入攻击的方法之一、在使用参数化查询时，所有的用户输入都会被作为参数传递给SQL语句，而不是直接拼接到SQL语句中。

这样可以防止攻击者将恶意的SQL代码插入到查询语句中。

例如，使用Java的JDBC进行数据库操作时，可以使用PreparedStatement接口来实现参数化查询：```String sql = "SELECT * FROM users WHERE username = ? AND password = ?";PreparedStatement statement =connection.prepareStatement(sql);statement.setString(1, username);statement.setString(2, password);ResultSet resultSet = statement.executeQuery(;```在这个例子中，通过使用`?`占位符来指定参数的位置，然后使用`setString(`方法将真正的参数值绑定到查询语句中。

这样无论用户输入的是什么，都不会破坏原有的SQL语句结构。

2.输入验证和过滤输入验证和过滤是防止SQL注入攻击的重要手段之一、通过对用户输入数据进行验证和过滤，可以排除潜在的安全风险。

在验证用户输入时，应该注意以下几点：-长度验证：限制输入的最大长度，以防止输入超出预期范围。

-数据类型验证：检查输入的数据是否符合预期的数据类型，如数字、日期等。

-白名单验证：只允许特定的字符或者字符集合，排除其他潜在的恶意字符。

在过滤用户输入时，可以使用一些常见的函数或方法，比如：- `mysqli_real_escape_string(`：用于转义特殊字符，防止SQL注入。

.Net防sql注⼊的⼏种⽅法防sql注⼊的常⽤⽅法：1、服务端对前端传过来的参数值进⾏类型验证；2、服务端执⾏sql，使⽤参数化传值，⽽不要使⽤sql字符串拼接；3、服务端对前端传过来的数据进⾏sql关键词过来与检测；着重记录下服务端进⾏sql关键词检测：1、sql关键词检测类：public class SqlInjectHelper:System.Web.UI.Page{private static string StrKeyWord = "select|insert|delete|from|count(|drop table|update|truncate|asc(|mid(|char(|xp_cmdshell|exec|master|net local group administrators|net user|or|and"; private static string StrSymbol = ";|(|)|[|]|{|}|%|@|*|'|!";private HttpRequest request;public SqlInjectHelper(System.Web.HttpRequest _request){this.request = _request;}public bool CheckSqlInject(){return CheckRequestQuery() || CheckRequestForm();}///<summary>///检查URL中是否包含Sql注⼊/// <param name="_request">当前HttpRequest对象</param>/// <returns>如果包含sql注⼊关键字，返回：true;否则返回：false</returns>///</summary>public bool CheckRequestQuery(){if (request.QueryString.Count > 0){foreach (string sqlParam in this.request.QueryString){if (sqlParam == "__VIEWSTATE")continue;if (sqlParam == "__EVENTVALIDATION")continue;if (CheckKeyWord(request.QueryString[sqlParam].ToLower())){return true;}}}return false;}///<summary>///检查提交的表单中是否包含Sql注⼊关键字/// <param name="_request">当前HttpRequest对象</param>/// <returns>如果包含sql注⼊关键字，返回：true;否则返回：false</returns>///</summary>public bool CheckRequestForm(){if (request.Form.Count > 0){foreach (string sqlParam in this.request.Form){if (sqlParam == "__VIEWSTATE")continue;if (sqlParam == "__EVENTVALIDATION")continue;if (CheckKeyWord(request.Form[sqlParam])){return true;}}}return false;}///<summary>///检查字符串中是否包含Sql注⼊关键字/// <param name="_key">被检查的字符串</param>/// <returns>如果包含sql注⼊关键字，返回：true;否则返回：false</returns>///</summary>private static bool CheckKeyWord(string _key){string[] pattenKeyWord = StrKeyWord.Split('|');string[] pattenSymbol = StrSymbol.Split('|');foreach (string sqlParam in pattenKeyWord){if (_key.Contains(sqlParam + " ") || _key.Contains(" " + sqlParam)){return true;}}foreach (string sqlParam in pattenSymbol){if (_key.Contains(sqlParam)){return true;}}return false;}}SqlInjectHelper类中，对request的query参数和form参数进⾏的检测，没有对cookie的检测，如有需要，可⾃⾏加上；2、SqlInjectHelper在哪调⽤呢？1）、如果想对整个web站点的所有请求都做sql关键字检测，那就在Global.asax 的 Application_BeginRequest⽅法中调⽤；protected void Application_BeginRequest(object sender, EventArgs e){SqlInjectHelper myCheck = new SqlInjectHelper(Request);bool result = myCheck.CheckSqlInject();if (result){Response.ContentType = "text/plain";Response.Write("您提交的数据有恶意字符！");Response.End();}}2）、如果只需对某个接⼝⽂件的接⼝进⾏sql关键字检测，那只需在该⽂件开始处调⽤SqlInjectHelper类即可；public class Handler1 : IHttpHandler{public void ProcessRequest(HttpContext context){SqlInjectHelper myCheck = new SqlInjectHelper(context.Request);bool result = myCheck.CheckSqlInject();context.Response.ContentType = "text/plain";context.Response.Write(result?"您提交的数据有恶意字符！":"");context.Response.StatusCode = result ? 500 : 200;}public bool IsReusable{get{return false;}}}上⾯的代码就是对某个⼀般处理程序(ashx)添加了sql关键字检测；3、补充说明：中的 __VIEWSTATE、__EVENTVALIDATION、 在sql关键字检测⽅法中，排除了__VIEWSTATE、__EVENTVALIDATION这两个参数；1）、__VIEWSTATE ViewState是中⽤来保存WEB控件回传时状态值⼀种机制。

java中防sql注入方案在Java中防范SQL注入是至关重要的，以下是一些防范SQL注入攻击的常见方案：1.使用预编译语句和参数化查询：使用PreparedStatement而不是Statement可以有效防止SQL注入。

预编译语句将参数化查询参数，数据库会将其视为参数而不是可执行的SQL代码。

javaCopy codeString sql = "SELECT * FROM users WHERE username = ? AND password = ?"; try (PreparedStatement preparedStatement = connection.prepareStatement(sql)) { preparedStatement.setString(1, username); preparedStatement.setString(2, password); ResultSet resultSet = preparedStatement.executeQuery(); // 处理结果集}2.使用ORM框架：使用对象关系映射（ORM）框架，如Hibernate或MyBatis，可以帮助防止SQL注入。

这些框架通常会处理参数化查询，从而减少注入风险。

3.输入验证和过滤：对用户输入进行验证和过滤，确保输入符合预期格式和范围。

不信任的输入应该被拒绝或适当地转义。

4.使用数据库权限：给数据库用户分配最小必要的权限，避免使用具有过高权限的数据库连接。

这可以限制攻击者可能利用的权限。

5.避免动态拼接SQL语句：避免通过字符串拼接构建SQL语句，这样容易受到注入攻击。

尽量使用参数化查询或存储过程。

javaCopy code// 避免String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";6.安全的密码存储：不直接存储明文密码，而是使用哈希函数加盐存储密码。