SQL 插入带参数的数据库，防止SQL注入

在本文中，我们将介绍如何通过使用参数化查询来防止 SQL 注入攻击，确保我们的数据库插入操作是安全的。

阅读更多：SQL 教程

什么是 SQL 注入？

SQL 注入是一种常见的网络安全攻击，攻击者通过在应用程序中插入恶意 SQL 代码来利用应用程序对输入不健壮的处理。攻击者可以利用这种漏洞来执行未经授权的数据库操作，包括删除、修改、插入数据，甚至获取敏感信息。为了防止此类攻击，我们需要使用参数化查询。

参数化查询的原理

参数化查询是一种使用占位符替代具体数值的查询方法。在执行查询之前，应用程序将 SQL 查询语句和参数分开处理。具体数值将以参数的形式传递给数据库，而不是将其直接嵌入查询语句中。这样可以防止攻击者通过注入恶意代码来改变原始查询语句的结构。

如何使用参数化查询

在大多数编程语言和数据库连接库中，都提供了使用参数化查询的方法。以下是一些示例，展示了如何在不同的编程语言中使用参数化查询来插入数据，并防止 SQL 注入攻击。

在 Python 中使用参数化查询

在 Python 中，可以使用 psycopg2 模块来连接 PostgreSQL 数据库，并执行参数化查询。

import psycopg2

# 连接到数据库
conn = psycopg2.connect(database="mydatabase", user="myuser", password="mypassword", host="localhost", port="5432")

# 创建一个游标对象
cur = conn.cursor()

# 执行参数化查询
name = "John"
email = "john@example.com"
cur.execute("INSERT INTO users (name, email) VALUES (%s, %s)", (name, email))

# 提交事务
conn.commit()

# 关闭游标和连接
cur.close()
conn.close()

在上述示例中，我们使用 %s 作为占位符，将数据传递给 execute 函数的第二个参数。这样可以确保传递的数据被作为参数进行处理，并且不会被当作 SQL 代码的一部分。

在 Java 中使用参数化查询

在 Java 中，可以使用 PreparedStatement 类来执行参数化查询，以下是一个示例：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.SQLException;

public class Main {
    public static void main(String[] args) {
        Connection conn = null;
        PreparedStatement stmt = null;

        try {
            // 连接到数据库
            conn = DriverManager.getConnection("jdbc:mysql://localhost/mydatabase", "myuser", "mypassword");

            // 创建 PreparedStatement 对象
            String sql = "INSERT INTO users (name, email) VALUES (?, ?)";
            stmt = conn.prepareStatement(sql);

            // 设置参数
            stmt.setString(1, "John");
            stmt.setString(2, "john@example.com");

            // 执行查询
            stmt.executeUpdate();

            // 提交事务
            conn.commit();
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            // 关闭 Statement 和 Connection
            try {
                if (stmt != null) stmt.close();
                if (conn != null) conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

在上述示例中，我们使用 ? 作为占位符，使用 setXXX 方法设置参数的值。这样可以确保传递的数据被作为参数进行处理，并且不会被当作 SQL 代码的一部分。