对于 1=2 防止or注入的理解

最新推荐文章于 2023-08-23 16:08:52 发布

rofanor

最新推荐文章于 2023-08-23 16:08:52 发布

阅读量409

点赞数

分类专栏：知识扫盲

本文链接：https://blog.youkuaiyun.com/Fanor_/article/details/126661053

版权

数据库开发

知识扫盲专栏收录该内容

2 篇文章

订阅专栏

本文探讨了SQL注入攻击的原理，特别是在使用OR语句时的风险。当参数未经正确处理时，恶意输入可能导致整个条件变为真，从而执行不期望的操作。为防止注入，建议将参数转化为字符串，并采用双层OR语句结构，确保外部条件默认为假。了解并实施这些防御措施对于保护数据库安全至关重要。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

-- 正常查询
select * from tablename
where id = '1'
and (status = '1' or status = '2' or status = '3')

-- 成功注入
and (1 = 2 or (status = '1' or status = '2' or status = 3 or 1=1))
-- 安全防注入
and (1 = 2 or (status = '1' or status = '2' or status = '3'))
and (status = '1' or status = '2' or status = '3 or 1=1')

如上当使用or语句，并且接收参数的话，就可能存在sql注入的风险。
原文
原因：