1.7 SQL注入攻击

1. SQL注入攻击是什么

一种Web攻击 SQL注入是一种将SQL代码添加到输入参数中，传递到服务器解析并执行的一种攻击手法。

2. 为什么会发生SQL注入攻击

把用户输入的内容直接拼接到SQL语句中执行

3. 如何解决SQL注入攻击

3.1. 开启SQL预编译

1. 写SQL的时候参数用?占位
2. 使用数据库驱动提供的 Prepared Statement / 参数化 API 绑定参数，不直接拼接用户输入。

这样 SQL 结构和参数数据分离，用户输入只会作为数据传入，不会继续参与 SQL 语法解析。防止 SQL 注入的关键是参数化，而不是执行计划缓存。

4. 实例

4.1. Golang

sql.md

5. 参考

• SQL注入攻击常见方式及测试方法_Lambda_Y的博客-CSDN博客
• sunwu51/WebSecurity
• 数据库预编译为什么能防止SQL注入呢？
• Mysql读写分离+防止sql注入攻击「GO源码剖析」