如何防御sql注入？

1，永远不要信任用户的输入，对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和双引号进行转换

2，永远不要使用动态拼接sql，可以使用参数化的sql或者直接使用存储过程进行数据查询

3，永远不要使用管理员权限连接数据库，为每个应用使用单独的权限连接数据库

4，不要把机密信息直接存放，加密或者hash掉密码和敏感的信息

5，应用的异常信息，应该给出可能少的提示，最好使用自定义的错误信息，对原是错误信息进行包装。

如果大家有好的方法，可以在下方留言。