本文介绍了在IT技术中防止SQL注入攻击的重要措施，如使用预编译处理和参数化查询，以及对用户输入进行类型判断、长度限制、特殊字符过滤，并强调了验证所有输入点，包括HTTP头的重要性。
"38356'or '1'--+'"
加固建议：
1、预编译处理&参数化查询
所有与数据库交互的业务接口均采用参数化查询，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中，参数化查询是防御SQL注入的最佳方法
2、对输入进行验证：
类型判断：字符型、整型；
长度判断：设置最大长度值；
业务参数合法性判断：比如支付金额不可能为负值这种；
特殊字符过滤：比如'，"，\，<，>，&，*，;，#，select，from，where，sub，if，union，sleep，and，or等；
验证所有的输入点，包括UA、Cookie以及其他HTTP头；
扫一扫
3313
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
