可注入SQL的代码、防止SQL注入

1. 输入验证：您应始终验证用户提供的数据。从web表单或URL查询字符串获取的数据应进行验证和清理，确保它们是预期类型的数据，例如，如果您期望一个电话号码，确保输入只包含数字。 2. 使用Web应用防火墙：Web应用防火墙可以帮助检测并阻止包含恶意SQL的请求。 3. 对错误消息进行控制：不要在应用程序错误消息中展示过于详细的内部信息。攻击者可能会利用这些信息来制定具体的攻击策略。 4. 存储过程：存储过程也可以作为防止SQL注入的一个办法。然而，必须注意的是，如果存储过程本身是可注入的（即，存储过程中包含动态SQL），那么这个方法将无法防止SQL注入。 5. 使用最小权限：为每个数据库连接设置尽可能小的权限。也就是说，如果您的应用程序只需要对特定几个表进行读取操作，那么不应给该应用程序的数据库用户写或更改表的权限。