防止sql注入的核心方法是使用参数化查询，结合输入验证、最小权限原则和waf等多层防护。1. 参数化查询通过预编译语句将用户输入作为数据处理，而非拼接到sql中执行；2. 输入验证应采用白名单校验格式、限制长度或转义特殊字符；3. 数据库连接应遵循最小权限原则，避免使用高权限账号并隐藏详细错误信息；4. 配合waf拦截恶意流量，并定期更新系统与依赖库，加强日志审计。
在MySQL中防止SQL注入攻击，核心是对输入数据进行严格过滤和正确使用参数化查询。很多人误以为只要用了“过滤关键字”就能防住注入，实际上这只是基础中的基础。真正有效的方法要结合开发规范、数据库设计以及安全机制来共同实现。
1. 使用参数化查询（预编译语句）
这是最推荐也最有效的方式。参数化查询不是把用户输入拼接到SQL语句中，而是先定义好语句结构，再传入具体的值。
例如，在PHP中使用PDO：
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = ? AND status = ?');
$stmt->execute([$email, $status]);或者在Python中使用mysql-connector：
cursor.execute("SELECT * FROM users WHERE email = %s", (email,))这样做的好处是，不管用户输入什么内容，都会被当作数据处理，而不是可执行的SQL代码。
小细节：有些框架封装了ORM，比如Django或Laravel，默认就使用了参数化查询，但如果你自己写原生SQL，一定要注意别拼接字符串！
2. 对输入进行验证和过滤
虽然参数化查询能挡住大部分问题，但不代表你可以放任用户随便输入。比如一个邮箱字段，应该检查是否符合邮箱格式；手机号字段，应该只允许数字。
可以这样做：
- 白名单验证：如邮箱、电话、身份证号等，使用正则表达式校验
- 黑名单替换：虽然不推荐，但在某些场景下可以对特殊字符做转义或过滤（比如去掉单引号）
- 限制长度：很多注入攻击靠的是长字符串构造，适当限制输入长度也有帮助
3. 最小权限原则与错误信息控制
很多SQL注入攻击之所以得逞，是因为应用连接数据库时使用了权限过高的账号，比如直接用root。一旦被攻破，后果很严重。
建议：
- 给每个应用分配独立的数据库账号
- 只赋予该账号所需的最小权限（比如只读账号不能删表）
- 不对外暴露详细的错误信息，避免泄露数据库结构
例如，在MySQL中创建一个只能访问特定表的用户：
CREATE USER 'app_user'@'localhost' IDENTIFIED BY 'secure_password'; GRANT SELECT, INSERT ON mydb.users TO 'app_user'@'localhost';
同时，在程序中不要返回原始错误信息，可以统一返回“系统错误，请稍后再试”。
4. 定期更新与使用Web应用防火墙（WAF）
除了代码层面的防护，还可以借助外部工具加强防御：
- 使用像ModSecurity这样的WAF，可以在请求到达应用前拦截恶意流量
- 定期更新依赖库和数据库版本，修复已知漏洞
- 对日志进行审计，发现异常查询行为及时响应
一些WAF规则可以识别常见的SQL注入特征，比如检测出UNION SELECT、DROP TABLE等关键词组合，并自动阻断。
基本上就这些，关键是要养成良好的编码习惯，配合合理的配置，SQL注入的风险就能降到很低。
