SQL注入攻防简介

注入：

1：数值注入   

sql: select * from user where id = ? ;

eg:  将id=(123) 写成 id=(123 OR 1=1) 

2:字符串注入

sql: select * from user where username = ? and password = ?;

        eg: username=' (zx) '  写成 username=' (zx'#) ' 或   （zx'--） 

       因为#和-- 为mysql注释符号  注释符之后的where条件就不执行了

防范：

1：输入格式经验 例如必须为字母或数字

2：将输入字符转译 \'

3：使用预编译prepare (sql占位符？）