web应用程序中SQL注入问题

---

SQL注入是一种代码注入技术，一般被应用于攻击web应用程序。它通过在web应用接口传入一些特殊参数字符，来欺骗应用服务器，执行恶意的SQL命令，以达到非法获取系统信息的目的。它目前是黑客对数据库进行攻击的最常用手段之一。

举个常见的业务场景：在web表单搜索框输入员工名字，然后后台查询出对应名字的员工。
这种场景下，一般都是前端页面,把一个名字参数username传到后台，然后后台通过SQL把结果查询出来

# 1、导入mysql
from pymysql import *

# 2、创建数据库lianjie
conn = connect(host='localhost',
               port=3306,
               user='root',
               mm='xxxxxx',
               db='ceshi_platform',
               charset='utf8')
print(conn)
# 3、打开游标
cur=conn.cursor()
# 4、执行sql语句
# 让用户输入用户名和密码
username=input('请输入用户名：')

# 编写sql语句
sql="select * from auth_user where username='%s'"%(username)
print(sql)
# 执行sql语句，返回查询到的记录条数rowcount，如果是rowcount不为0，则登录成功，否则登录失败
rowcount = cur.execute(sql)
if rowcount!=0:
    print('登录成功')
else:
    print('登录失败')

# 5、关闭游标
cur.close()
# 6、关闭连接
conn.close()

执行结果:

请输入用户名：' or '1=1
select * from auth_user where username='' or '1=1'
登录成功

如何预防SQL注入问题

对sql语句进行参数化

# 1、导入mysql
from pymysql import *

# 2、创建数据库lianjie
conn = connect(host='localhost',
               port=3306,
               user='root',
               mm='xxxxxx',
               db='ceshi_platform',
               charset='utf8')
print(conn)
# 3、打开游标
cur=conn.cursor()
# 4、执行sql语句
# 让用户输入用户名和密码
username=input('请输入用户名：')

# 编写sql语句
sql="select * from auth_user where username=%s"
params=(username,)
print(sql)
# 执行sql语句，返回查询到的记录条数rowcount，如果是rowcount不为0，则登录成功，否则登录失败
rowcount = cur.execute(sql,params)
if rowcount!=0:
    print('登录成功')
else:
    print('登录失败')

# 5、关闭游标
cur.close()
# 6、关闭连接
conn.close()

执行结果:

请输入用户名：' or '1=1
select * from auth_user where username=%s
登录失败

---