MySQL 防止SQL注入需要进行转义的字符

在使用MySQL作为数据库时，安全性始终是重中之重。其中，SQL注入攻击是最常见的安全问题之一，可以通过转义字符来防止SQL注入攻击。

阅读更多：MySQL 教程

什么是SQL注入

SQL注入攻击指黑客利用网站表单的输入框等提供的字符串，来修改SQL语句从而达到非法手段获取信息或者对数据库进行攻击的技术。利用SQL注入，攻击者可以窃取用户的信息，污染数据库或者破坏网站等。

下面以一段SQL语句演示SQL注入的危害：

SELECT * FROM users WHERE username='{输入的字符串}';

如果输入的字符串为 ' OR 1=1;-- ，那么原本的SQL语句将变成：

SELECT * FROM users WHERE username='' OR 1=1;-- ';

这样攻击者就可以绕过用户名和密码校验，获取数据库中的所有用户信息。而利用转义字符可以防止SQL注入。

MySQL转义字符

单引号（’）需要转义为两个单引号（”）。

SQL语句中的字符串只能使用单引号或双引号来括起来，如果字符串中包含了单引号，则需要将其转义为两个单引号。

例如进行插入操作时：

INSERT INTO users (id, username, password) VALUES (1, 'Tom O''Brien', 'password123');

双引号（”）需要转义为（\”）。

同样地，如果存在双引号，也需要对其进行相应的转义处理。

例如：

SELECT * FROM users WHERE username=\"Tom O'Brien\";

反斜杠（\）需要转义为（\）。

在使用反斜杠作为转义字符的情况下，为了防止SQL注入，需要将反斜杠再次进行转义。

例如：

INSERT INTO users (id, username, password) VALUES (1, 'admin', 'p@ssw\\0rd123');

预处理语句

在防止SQL注入方面，预处理语句也是一种非常有效的方式。预处理语句首先编译SQL语句本身，然后在执行时进行参数的替换工作，从而避免攻击者通过构造恶意参数来进行SQL注入攻击。

例如，下面的代码演示了如何使用Python进行MySQL预处理语句的操作：

import mysql.connector

mydb = mysql.connector.connect(host="localhost", user="root", password="password123", database="mydatabase")

mycursor = mydb.cursor()

sql = "SELECT * FROM customers WHERE address = %s"
adr = ("Yellow Garden 2", )

mycursor.execute(sql, adr)

myresult = mycursor.fetchall()

for x in myresult:
  print(x)