sql注入防御

　　产生sql注入的问题就是用户提交的查询参数被当作sql指令在数据库中执行导致原查询语句语义改变，要避免这种情况发生，我们可以先对用户提交的参数进行黑白名单过滤，之后在sql执行之前对它进行预编译，进行参数化查询，这样几乎可以完全避免sql注入漏洞的产生。

一、过滤关键字

　　　对用户输入的内容进行转义（PHP中addslashes()、mysql_real_escape()函数），正则表达式过滤等等，也可以在一定成都下限制输入关键字的长度。

二、预编译，参数化查询。

　　使用SQL语句预处理，对SQL语句首先进行预编译，然后进行参数绑定，最后传入参数。

        String sql = "select id, no from user where id=?";
        PreparedStatement ps = conn.prepareStatement(sql);
        ps.setInt(1, id);
        ps.executeQuery();

　　如上所示，就是典型的采用 sql语句预编译和绑定变量 。为什么这样就可以防止sql 注入呢？

　　其原因就是：采用了PreparedStatement，就会将sql语句："select id, no from user where id=?" 预先编译好，也就是SQL引擎会预先进行语法分析，产生语法树，生成执行计划，也就是说，后面你输入的参数，无论你输入的是什么，都不会影响该sql语句的 语法结构了，因为语法分析已经完成了，而语法分析主要是分析sql命令，比如 select ,from ,where ,and, or ,order by 等等。所以即使你后面输入了这些sql命令，也不会被当成sql命令来执行了，因为这些sql命令的执行， 必须先的通过语法分析，生成执行计划，既然语法分析已经完成，已经预编译过了，那么后面输入的参数，是绝对不可能作为sql命令来执行的，只会被当做字符串字面值参数。所以sql语句预编译可以防御sql注入。

三、严格限制数据库管理用户的权限。

　　将数据库用户的功能设置为最低要求；这将限制攻击者在设法获取访问权限时可以执行的操作。