如何防止SQL注入攻击
BS系统中，传统的注入攻击手段有很多。
最基本的，利用单引号攻击的，很容易解决，用类似于QuotedStr()（实际开发是其他语言，这里用DELPHI中的函数代替）的函数处理参数即可。
但实际应用中，不可避免会有一些应用需要直接传递参数，例如表名、查询条件、排序条件等等
对这些应用的注入攻击防不胜防。
我考虑了一个思路，供大家参考。
1 对所有网页传入的参数分三种。
a) 数字类型，用StrToInt函数处理。
b) 字符串类型，用QuotedStr函数处理。
c) 需要直接传递的参数，这是需要着重考虑的类型。
2 对所有数据库操作主要分五种，不允许程序直接执行SQL语句：
a) select 查询
b) update 更新
c) insert 新增
d) delete 删除
e) exec 执行存储过程
3 对于以上几种数据库操作的所有参数，例如select 操作中的 查询条件、排序条件等，都进行合法性校验：
a) 里面存在 "--" "/*" "*/" 的，都视为非法条件。
b) 将条件拆分为单词，如果存在以下单词：delete insert update exec execute create drop grant的，都视为非法条件。（正常的表名、字段名中不可能有上面这些关键字吧。）
c) 传入的查询条件，校验里面的括号，凡是右括号在左括号前面（不配对）的，都视为非法条件。
d) 传入的查询条件，前后加括号。
经过以上校验，应该基本可以保证参数是正常的参数，供大家参考。同时也希望大家能找出其中的漏洞，我可以进行改进^_^
相关文档：
Oracle系列：Record和PL/SQL表
一，什么是记录Record和PL/SQL表？
记录Record：由单行多列的标量类型构成的临时记录对象类型。类似于多维数组。
PL/SQL表：由多行单列的索引列和可用列构成的临时索引表对象类型。类似于一维数组和键值对。
都是用户自定义数据类型。
......
Oracle 系列： PL/SQL表
一，什么是PL/SQL表？
首先PL/SQL表和记录(Record)一样，都是复合数据类型。可以看做是一种用户自定义数据类型。
PL/SQL表由多列单行的标量构成的临时索引表对象。组成类似于一维数组。
区别和联系记录(Record)的单行多列和物理存储数据的表。
Record + PL/SQL� ......
Student(S#,Sname,Sage,Ssex) 学生表
Course(C#,Cname,T#) 课程表
SC(S#,C#,score) 成绩表
Teacher(T#,Tname) 教师表
问题：
1、查询“”课程比“”课程成绩高的所有学生的学号；
SELECT a.S# from (SELECT s#,score from SC WHERE C#='001') a,
(SELECT s#,score ......
架构
架构让用户能够将数据库对象根据其用途进行分组，可将架构视为数据库中对象的逻辑分组。调用架构中的对象时，需要使用至少包含俩部分的名称。用户比较熟悉dbo架构，对于给定数据库，它是默认的架构。最后的方法是使用俩部分名称来引用数据库对象。
同义词
同义词在数据库对象和客户端之间创建一个抽象层，实质上它� ......
关于我们 | 加入我们 | 网站结构 | 交换连接 | 联系我们
首页
技术文摘
安全漏洞
菜鸟乐园
黑客进阶
资料文库
原创作品
软件下载
技术论坛
SQL完全简明手册
转帖
SQL是Structured Quevy Language(结构化查询语言)的缩写。SQL是专为数据库而建立
的操作命令集，是一种功能齐全的数据库语言。在使� ......
