SQL 注入是一种常见的网络攻击手段，攻击者通过在输入数据中插入恶意 SQL 代码，从而破坏数据库的安全性和完整性。以下是一些防范 SQL 注入的方法：
1. 使用参数化查询
参数化查询是一种防止 SQL 注入的有效方法。它将 SQL 语句与数据分离，确保数据不会直接拼接到 SQL 语句中。
-- 使用参数化查询
PREPARE stmt FROM 'SELECT * FROM users WHERE username = ? AND password = ?';
SET @username = 'admin';
SET @password = 'password';
EXECUTE stmt USING @username, @password;
2. 使用预处理语句
预处理语句与参数化查询类似，也是将 SQL 语句与数据分离，防止 SQL 注入。
-- 使用预处理语句
PREPARE stmt FROM 'SELECT * FROM users WHERE username = ? AND password = ?';
SET @username = 'admin';
SET @password = 'password';
EXECUTE stmt USING @username, @password;
3. 使用 ORM 框架
ORM（对象关系映射）框架可以将对象与数据库表进行映射，从而减少直接编写 SQL 语句的次数，降低 SQL 注入的风险。
// 使用 Hibernate ORM 框架
User user = new User();
user.setUsername("admin");
user.setPassword("password");
session.save(user);
4. 使用输入验证
对用户输入进行严格的验证，确保输入的数据符合预期的格式和类型。
// 使用 PHP 进行输入验证
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);
5. 使用 Web 应用防火墙
Web 应用防火墙可以检测和阻止 SQL 注入攻击。
SQL Injection