码迷,mamicode.com
首页 > 数据库 > 详细

SQL注入-预防

时间:2019-07-11 14:31:38      阅读:144      评论:0      收藏:0      [点我收藏+]

标签:字符   检查   信息   转义   代码   特殊   名称   最好   包含   

输入验证:

  • 检查用户输入的合法性,确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行服务器端验证,是为了弥补客户端验证机制脆弱的安全性。
  • 输入验证最好使用“白名单”校验的方式。

输入转义:

  • 每个DBMS都有一个字符转义机制来告知DBMS输入的是数据而不是代码,如果将用户的输入都进行转义,那么DBMS就不会混淆数据和代码,也不会出现SQL注入了。

最小权限法:

  • 把每个数据库用户的权限尽可能缩小,在给用户权限时是基于用户需要什么样的权限。而不是用户不需要什么样的权限。

参数化查询:

  • 在使用参数化查询的情况下,数据库服务器不会将参数的内容视为SQL指令的一部分来处理,而是在数据库完成SQL指令的编译后,才套用参数运行,因此就算参数中含有恶意的指令,由于已经编译完成,就不会被数据库所运行。(这个方法目前被视为最有效可预防SQL注入攻击的防御方式)

错误消息处理:

  • 防范SQL注入,还要避免出现一些详细的错误消息,这些错误消息可能会暴露一些敏感信息被攻击者利用。

加密处理:

  • 将用户登录名称,密码等数据加密保存。加密用户输入的数据,然后再将它与数据库中保存的数据比较,这相当于对用户输入的数据进行了“消毒”处理,用户输入的数据不再对数据库有任何特殊的意义,从而防止了攻击者注入的SQL命令。

SQL注入-预防

标签:字符   检查   信息   转义   代码   特殊   名称   最好   包含   

原文地址:https://www.cnblogs.com/lwfiwo/p/11169556.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!