参数替换防止sql注入的原理是什么？

Question

看了网上的很多答案，说什么的都有，希望数据库大佬能解释一下真正的原理，万分感谢！！！

Answer 1

主要是针对非参数化，而且直接拼接sql后执行才会有sql注入问题。

一个简单的示例，读取新闻的，需要id参数，值为数字，拼接sql如下

string id = Request.QueryString["id"];
string sql = "select * from news where id=" + id;

正常情况下id输入数字，那么sql就是正常的。但是id参数是客户端提交的，内容不可控，可以人工修改，如id=1;delete from news;

这样如果为判断id的值，直接凭借，那么sql语句就会变为

select * from news where id=1;delete from news;

这样执行sql的话就会将news表内容清空了。

 

结论就是不要相信客户端提交的数据，即使客户端有用js验证过数据有效性，但是服务器端一定要再次验证过，因为数据是可以直接提交到接口，并不一定走你的js验证。

不过sql注入这种东东随便服务器安装个防护软件（如安全狗）就能拦截了，现在很难注入了

 

所以对应为数字的参数一定要判断值是否为数字，不是就输出错误提示参数错误什么的。

字符型参数的要替换掉单引号。