如何防止SQL注入？

<think>首先，用户的问题是：“参数化查询如何防止SQL注入？”我需要用中文回答。 我的回答必须包括： 1. 回答问题本身。 2. 在回答末尾，必须提出3-5个相关问题。 3. 相关问题必须以“§§相关问题§§”开头，并且是完整的一行。 4. 禁止换行分散，意思是相关问题部分不能有换行或其他分散。 回顾规则： - 回答完问题后，立即输出“§§相关问题§§”，然后列出3-5个问题。 - 问题格式如示例：1. ··· 2. ··· 3. ··· 现在，针对问题：“参数化查询如何防止SQL注入？” - 我需要解释参数化查询如何工作以及为什么它能防止SQL注入。 - 关键点：参数化查询使用占位符（如?或命名参数）来分离SQL代码和数据，这样用户输入被视为数据而不是可执行代码，从而防止注入。 结构化我的回答： 1. 简要介绍参数化查询。 2. 解释其工作原理。 3. 说明它如何防止SQL注入。 4. 提供代码示例（如Python、Java等）来展示。 5. 最后，输出相关问题。 相关问题必须基于用户的问题和我的回答。用户的问题是“参数化查询如何防止SQL注入”，所以相关问题可以围绕： - 参数化查询的具体实现。 - 与其他防御方法的比较。 - 潜在的限制。 - 实际应用场景。 脑力storm相关问题： 1. 参数化查询在哪些编程语言中支持？ 2. 参数化查询能防止所有类型的SQL注入吗？ 3. 除了参数化查询，还有哪些方法可以防止SQL注入？ 4. 参数化查询和存储过程有什么区别？ 5. 如何测试参数化查询是否有效？ 确保3-5个问题，我选择4个。 最后，确保输出格式： - 回答问题。 - 然后“§§相关问题§§”一行。 - 然后问题列表，如“1. ...\n2. ...\n3. ...\n4. ...” 等。 在回答中，我可以包含代码块，如示例中的Python代码。 撰写回答： - 开头：解释参数化查询。 - 中间：工作原理和示例代码（如Python）。 - 结尾：总结其有效性。 - 然后“§§相关问题§§” - 相关问题列表。 代码示例：使用Python的sqlite3或MySQLdb。</think>参数化查询通过将SQL语句的结构与用户输入的数据分离来防止SQL注入。具体原理是：数据库引擎在处理查询时，先将SQL模板（包含占位符）编译为固定结构，再将用户输入作为纯数据绑定到占位符上。这样，输入内容不会被解释为SQL代码，从而无法改变查询逻辑或执行恶意命令。以下是关键点： ### 防止机制： 1. **输入隔离**：用户输入被视为数据而非代码。例如，输入`' OR '1'='1`会被当作整体字符串处理，不会触发逻辑变化。 2. **预编译优化**：SQL模板（如`SELECT * FROM users WHERE username = ?`）在数据库端预先编译，输入数据通过参数绑定（如`?`）传入，避免了字符串拼接。 3. **类型安全**：数据库引擎自动处理数据类型转换（如引号转义），防止注入字符被误解析。 ### 代码示例（Python使用SQLite）： ```python import sqlite3 conn = sqlite3.connect('test.db') cursor = conn.cursor() # 安全：参数化查询（使用占位符?） user_input = "admin' --" query = "SELECT * FROM users WHERE username = ?" cursor.execute(query, (user_input,)) # 输入被绑定为数据 # 危险：直接拼接（易受注入攻击） unsafe_query = f"SELECT * FROM users WHERE username = '{user_input}'" cursor.execute(unsafe_query) # 输入被解析为代码，导致注入 ``` 在此示例中，参数化查询将`admin' --`视为完整字符串，而不会注释后续SQL；拼接方式则允许注入。 ### 优势： - **高效防御**：可阻止所有基于字符串拼接的注入类型（如登录绕过、UNION注入）。 - **性能提升**：预编译查询可重用，减少数据库解析开销。 - **跨平台支持**：所有主流数据库（如MySQL、PostgreSQL）和语言（如Java、PHP）均原生支持。 参数化查询是OWASP推荐的黄金标准，但需确保开发中避免混合使用拼接方法。