web 页面 一些sql注入语句小结

首先，需要明确一下什么是 SQL 注入。SQL 注入是一种攻击方式，攻击者通过在 web 应用中输入恶意 SQL 代码来实现非法操作，从而破坏数据库的完整性和机密性。在 web 页面中，由于用户输入的数据不可控，如果使用不安全的 SQL 查询方式，会让 SQL 注入攻击者有机可乘。

以下是针对 SQL 注入攻击的一些攻略：

使用参数化查询

在代码编写的过程中，建议使用参数化查询。即将 SQL 语句和用户输入的数据分离开来，使用参数代替用户输入的数据，从而避免攻击者注入恶意代码。以下是使用参数化查询避免 SQL 注入攻击的例子：

import pymysql

def get_user_info(user_id):
    conn = pymysql.connect("localhost", "user", "password", "test")
    cursor = conn.cursor()
    select_sql = "SELECT * FROM user WHERE id = %s"
    cursor.execute(select_sql, user_id)
    result = cursor.fetchone()
    conn.commit()
    cursor.close()
    conn.close()
    return result

在上述代码中，使用 %s 作为占位符，传入 user_id 作为参数，而不是将 user_id 直接拼接到 SQL 语句中，这样可以避免 SQL 注入攻击。

过滤和验证输入数据

web 开发中，用户输入的数据不可控，但可以对输入数据进行过滤和验证。过滤和验证用户数据是一种有效的防止 SQL 注入攻击的方法。以下是过滤和验证用户输入数据的例子：

import re

def filter_input(input_str):
    pattern = '[a-zA-Z0-9_]'
    result = re.search(pattern, input_str)
    if result:
        return result.group()   //如果包含了非法字符，则返回空值
    else:
        return ''

def validate_user_info(user_info):
    for key, value in user_info.items():
        if filter_input(value) == '':
            return False
    return True

def insert_user_info(user_info):
    if not validate_user_info(user_info):
        return False
    conn = pymysql.connect("localhost", "user", "password", "test")
    cursor = conn.cursor()
    insert_sql = "INSERT INTO user(name, age, email) VALUES(%s, %s, %s)"
    cursor.execute(insert_sql, (user_info['name'], user_info['age'], user_info['email']))
    conn.commit()
    cursor.close()
    conn.close()
    return True

在上述代码中，使用了一个 filter_input 函数，将用户输入的字符串过滤，只保留数字、字母和下划线，如果包含了其它字符，则返回空值。在 validate_user_info 函数中遍历用户信息，如果其中任一字段包含了非法字符，则数据验证不通过。在 insert_user_info 函数中，如果用户数据验证不通过，则不执行插入数据的操作。

以上是针对 SQL 注入攻击的几点攻略，希望能对开发者有所帮助。