🌟 什么是 SQL 注入？
SQL 注入（SQL Injection）是指攻击者利用特殊输入，让数据库执行它本来不应该执行的代码，从而获取或篡改数据。
就像在考试的时候偷偷改题目，让老师改成你想要的内容！ 😱
🌟 先来看一个正常的 SQL 查询
假设你的网站有一个登录功能，代码是这样的：
🔹 登录代码
$username = $_GET['username'];
$password = $_GET['password'];$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
✅ 这个代码的意思是：
👉 从 users 表里查找 用户名 = $username 且 密码 = $password 的用户。
如果数据库里有这条数据，用户就可以登录！
🌟 用户输入正常数据（正确方式）
假设用户输入：
username = admin
password = 123456
最终SQL语句：
SELECT * FROM users WHERE username = 'admin' AND password = '123456';
✅ 如果 admin 这个用户的密码是 123456，那么数据库会返回这个用户的信息，表示登录成功！
🚨 但如果攻击者输入特殊字符呢？
攻击者可能会这样输入：
username = admin' --
password = （随便填）
那么最终SQL语句变成：
SELECT * FROM users WHERE username = 'admin' -- ' AND password = 'xxxxx';
这里发生了什么？
-
--是SQL中的注释符号，它会让后面代码（AND password='xxxxx'）变成无效的注释。 -
结果就变成：
SELECT * FROM users WHERE username = 'admin'
相当于直接查询
admin用户，而不检查密码！ 😱 -
这样攻击者就可以绕过密码验证，直接登录
admin账号！✅ -
🌟 现实世界的比喻
-
💡 想象你在银行办理取款业务，柜员要核对你的身份：
-
正常情况：
柜员问你：请告诉我你的用户名和密码，如果正确，我就给你取钱。-
你说：“我是
admin，密码是123456” -
银行查了一下，发现你的用户名和密码匹配，于是让你取钱。✅
-
-
被攻击的情况（SQL注入）：
攻击者说：“我是admin，但是密码这部分不重要，你不用检查。”-
银行糊涂了，以为你就是
admin，直接给你取钱！ -
🌟 关键点总结
-
1️⃣ SQL 注入的本质：利用特殊字符破坏 SQL 语句结构，让数据库执行本不应该执行的代码。
2️⃣ 常见注入方式： -
单引号
'（破坏 SQL 结构） -
--（注释掉后续代码） -
OR 1=1（让查询条件永远成立） -
3️⃣ 为什么 SQL 注入危险？
-
可以绕过密码验证，直接登录
-
可以获取数据库里的所有数据（用户信息、密码、银行卡号）
-
甚至可以删除数据，破坏整个系统！ 😱
-
🌟 2. 什么是预编译（Prepared Statement）？
🔹 预编译的作用
预编译（Prepared Statement）的核心思想是： 👉 把 SQL 语句和用户输入的参数分开处理，防止用户输入的数据被当成 SQL 代码执行。
就像去餐馆点菜时，菜谱是固定的，顾客只能填菜名，不能改动菜单的内容，这样就不会有欺骗行为。
🔹 普通的 SQL 语句（容易被 SQL 注入攻击）
🚨 下面是一个 危险的 SQL 代码
-
$name = $_GET['name'];
$query = "SELECT * FROM users WHERE name = '$name'";
$result = $pdo->query($query);👆 这里的问题是：
-
$name直接拼接到 SQL 语句中，如果用户输入了恶意代码，就会被数据库当成 SQL 代码执行，导致 SQL 注入！ - ✅ 使用预编译（防止 SQL 注入）
$stmt = $pdo->prepare('SELECT * FROM users WHERE name = ?');
$stmt->execute([$name]);execute([$name]);
个代码是安全的！ 为什么？
prepare('SELECT * FROM users WHERE name = ?') 这一步先定义好 SQL 语句，但不插入具体的值。
execute([$name]) 这一步才把 $name 作为普通字符串插入，不会被当成 SQL 代码。
💡 无论用户输入什么，它都会被当成普通文本，不会影响 SQL 语句本身。
-
🌟 3. 为什么预编译不能 100% 防 SQL 注入？
虽然预编译能防止大部分 SQL 注入，但在某些特殊情况下，仍然可能被绕过。
下面是三个真实案例，让你彻底理解！😱 -
🚨 案例一：宽字节注入
🌍 发生场景
某些数据库（比如 MySQL）在处理GBK 编码时，可能会错误地解析特殊字符，从而导致 SQL 注入。💻 代码示例
-
$pdo->query('SET NAMES gbk'); // 设定 GBK 编码
$var = "\xbf\x27 OR 1=1 /*"; // 特殊构造的字符串
$query = 'SELECT * FROM test WHERE name = ? LIMIT 1';
$stmt = $pdo->prepare($query);
$stmt->execute([$var]);❓ 为什么会有问题？
1️⃣
\xbf\x27在 GBK 编码下，可能会被误解析为一个单独的字符。
2️⃣ 剩下的部分 "OR 1=1 /*" 会被数据库当成 SQL 代码执行！
3️⃣ 这样就变成： -
SELECT * FROM test WHERE name = '某些字符' OR 1=1 /*
OR 1=1永远为真，所以查询会返回所有数据，导致信息泄露！ 😱 -
🚨 案例二：表名注入
🌍 发生场景
预编译只能防止SQL参数注入，但如果动态拼接SQL，还是会有风险！😨💻 代码示例
-
$dbh = new PDO("mysql:host=localhost;dbname=test", "root", "password");
$name = $_GET['name']; // 例如输入："users; DROP TABLE users;"
$stmt = $dbh->prepare('SELECT * FROM ' . $name . ' WHERE username = :username');
$stmt->execute([':username' => $_REQUEST['username']]);❓ 为什么会有问题？
1️⃣
$name直接拼接进 SQL 语句，而不是作为参数传入prepare()。
2️⃣ 攻击者可以输入恶意表名，比如： -
users; DROP TABLE users;
3️⃣ 这样 SQL 语句变成：
-
SELECT * FROM users; DROP TABLE users; WHERE username = 'admin'
🔴 结果：
users表被删除！数据丢失！ 😱 -
案例三：ORDER BY 注入
🌍 发生场景
有些 SQL 语句的排序字段不能使用预编译参数，这会导致 SQL 注入。💻 代码示例
-
$stmt = $dbh->prepare('SELECT * FROM foo ORDER BY :userSuppliedData');
$stmt->execute([':userSuppliedData' => $_GET['sort']]);为什么会有问题？
1️⃣
ORDER BY后面的字段名 不能使用预编译参数。
2️⃣ 攻击者可以输入： -
id DESC; DROP TABLE foo;
3️⃣ 这样 SQL 语句变成：
-
SELECT * FROM foo ORDER BY id DESC; DROP TABLE foo;
4️⃣ 🔴 结果：
foo表被删除！数据库数据被破坏！ 😱🌟 4. 如何完全防止 SQL 注入？
虽然预编译是一个很好的安全措施，但它并不能 100% 防止 SQL 注入。
所以，我们还需要额外的安全措施！👇
✅ 方法 1：严格限制输入格式
💡 不要让用户输入影响 SQL 结构的内容！
🔹 例如，限制表名、列名、排序字段只能从“白名单”中选择！ -
$allowedSortFields = ['id', 'name', 'date'];
if (!in_array($_GET['sort'], $allowedSortFields)) {
die("Invalid input"); // 直接终止，防止 SQL 注入
}✅ 方法 2：使用 ORM 框架
🔹 ORM（Object-Relational Mapping） 框架（比如 Laravel 的 Eloquent、Doctrine）会自动处理 SQL 语句，默认带有安全检查。
示例：
-
User::where('name', $name)->first();
ORM 会自动处理 SQL 注入问题，不需要手动写 SQL 语句。
✅ 方法 3：最小权限原则
🔹 不要使用数据库管理员账户（如
root）运行 SQL 语句！ 🔹 为应用创建权限受限的数据库账户，这样即使有 SQL 注入，也不会破坏整个数据库。CREATE USER 'webapp'@'localhost' IDENTIFIED BY 'securepassword';
GRANT SELECT, INSERT, UPDATE, DELETE ON testdb.* TO 'webapp'@'localhost';这样，即使黑客注入了
DROP TABLE users;，也无法执行，因为webapp账号没有删除表的权限！😃
🌟 总结
✅ 预编译是 SQL 防注入的核心方法，但并不 100% 安全。
✅ SQL 注入绕过的三种方式： -
宽字节注入（特殊字符编码问题）
-
表名注入（拼接动态 SQL ）
-
ORDER BY 注入（排序字段不能预编译）
✅ 想要 100% 防 SQL 注入，还需要额外措施！
✅ 最佳安全做法： -
严格限制用户输入
-
使用 ORM 框架
-
遵循最小权限原则
-
-
