sql注入：
所谓sql注入，就是通过把sql命令插入到表单中或页面请求的查询字符串中，最终达到欺骗服务器执行恶意的sql命令。具体来说，它是利用现有的应用程序，将（恶意的）sql命令注入到后台数据库引擎执行的能力，它也可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者的意图去执行sql语句。比如先前的很多影视网站泄露VIP会员密码大多数就是通过Web表单递交查询字符串爆出的。
（1）现在我们有一个sql_user表，表结构如下：
from django.db import models
from django.core import validators
class User(models.Model):
username = models.CharField(max_length=20)
password = models.CharField(max_length=24)
telephone = models.CharField(max_length=11, validators=[validators.RegexValidator(r"1[345678]d{9}")])
class Meta:
db_table = 'sql_user'
（2）然后我们使用原生sql语句实现以下需求：
（1）实现一个根据用户id获取用户详情的视图，示例代码如下：
from django.http import HttpResponse
from django.db import connection
from django.shortcuts import render
def index(request):
cursor = connection.cursor()
user_id = request.GET.get('id')
context = {}
if user_id:
cursor.execute("select id,username from sql_user where id=%s"%user_id)
users = cursor.fetchall()
for user in users:
print(user)
context['users'] = users
return render(request, 'sql.html', context=context)
else:
return HttpResponse('该用户不存在！！！')
（2）正常情况，用户可以使用查询字符串的形式访问该网页，并且查询用户的详情，可以输入：http://127.0.0.1:8000/sql/?id=2, 这样的话，就会返回给用户数据库中id为2的用户详情。可是，如果用户在这个时候，进行sql注入，比如，输入：http://127.0.0.1:8000/sql/?id=2 or 1=1,很显然，1=1这样的条件是永远为True的，这样的话，就会返回给用户数据库中存在的所有用户的数据，就会造成用户信息的泄露。
（3）根据用户名提取用户相关的信息，示例代码如下：
from django.http import HttpResponse
from django.db import connection
from django.shortcuts import render
def index(request):
cursor = connection.cursor()
username = request.GET.get('username')
context = {}
if username:
cursor.execute("select id, username from sql_user where username='%s'"%username)
users = cursor.fetchall()
for user in users:
print(user)
context['users'] = users
return render(request, 'sql.html', context=context)
else:
context['users'] = '您输入的用户不存在！'
return render(request, 'sql.html', context=context)
注意，如果在执行sql语句的时候没有在%s两边用单引号包裹，那么在输入url的时候一定要将username对应的值加上单引号http://127.0.0.1:8001/sql/?username='孤烟逐云'，否者的话，会报错：“OperationalError at /sql/(1054, "Unknown column '孤烟逐云' in 'where clause'")”。但是，如果我们在执行sql语句的时候，在%s两边加上单引号，那么在url中输入查询字符串的时候，就不用加单引号了。
正常情况下，我们应该输入：http://127.0.0.1:8001/sql/?username=孤烟逐云 ，网页就会返回给我们查询到的用户的详情。但是，如果我们不遵循设计者的意愿，输入http://127.0.0.1:8001/sql/?username=孤烟逐云' or '1=1很显然，这个结果永远为True 。那么，就会给用户返回数据库中所有的用户信息，并且此时不管你输入的username是否存在数据库中，也不管你后面输入的是1=4还是1=3都会返回数据库中所有的信息。其实此时已经破坏了网页的结构。
sql注入防御：
通过传递一些恶意代码来破坏原有的sql语句以便达到自己的目的。那么我们该如何防御sql注入呢? 归类起来主要有以下几点：
（1）永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度，对单引号和双引号进行转换等。
（2）永远不要使用动态拼接sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取，比如：
sql = "select id, username from sql_user where username=%s"
cursor.execute(sql, (username,))
<!--参数化的形式execute(sql语句,(参数,)),其中参数后面的逗号表示execute()传入的是一个元组。-->
（3）永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
（4）不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
（5）应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始信息进行包装。
在Django中如何防御sql注入：
（1）使用ORM来做数据的增删改查，因为ORM使用的是参数化的形式执行sql语句。
（2）如果要执行原生sql语句，那么建议不要使用拼接的sql，而是使用参数化的形式。