如何有效防范针对SQL数据库的复杂SQL注入攻击手段？

说实话，SQL注入这玩意儿真的是老生常谈了但还是有很多人掉坑里咱就是说为啥呢？

主要原因是黑客太聪明了他们总能想出办法来搞你的数据库，害，你得小心点，哈基米！。

SQL注入是个啥？

简单 就是黑客在你的网站输入框里输入一些奇怪的字符，让你的数据库施行一些你不希望它施行的SQL语句，比如说直接登录后台，哈哈，这就尴尬了，绝了...。

话说回来.…. 比如说你写了一个登录框， 用户输入用户名和密码，然后你直接把这些输入拼接到SQL语句里去查询，就像这样：

String sql = "select * from users where name='" + username + "' and pwd='" + password + "'";

这就有问题了一旦用户输入带单引号的内容，就可能改变SQL语句的原意，你懂的。

黑客能干啥坏事儿？

对，就这个意思。 他们可以偷数据，比如用户表、密码表、信用卡号什么的，都可能被抓走。

他们还能改数据，删库跑路这种事也干得出来你想想就后怕。

甚至有的高级点的，还能施行系统命令，直接把服务器给干掉，那真是损失惨重。

怎么防范SQL注入？

先说说你得确保用户输入的内容是平安的，不能直接拼接到SQL语句里去。

可以用参数化查询， 比如Java里的PreparedStatement，这样用户输入的内容就不会被当成SQL语句施行了。