快速了解sql注入基本原理
SQL注入基本原理
WEB技术发展日新月异，但是徒手拼SQL的传统手艺还是受相当多的开发者亲睐。毕竟相比于再去学习一套复杂的ORM规则，手拼更说方便，直观。通常自己拼SQL的人，应该是有听说过SQL注入很危险，但是总是心想：我的SQL语句这么简单，不可能被注入的。
花5分钟看完这个完整的例子，从今往后应该再也不敢有以上侥幸心理了。
简单场景
有一个WEB界面提供输入商品名称，展示对应价格，生产日期及生产地信息。例如输入Hammer展示：
| 产品 | 价格 | 生产地 | 生产日期 |
|---|---|---|---|
| Claw Hammer | 12.98 | American | 2019.11.07 |
| Club Hammer | 29.98 | Canada | 2019.11.11 |
我们跳过了搭建Web搜索界面的过程，直接关注重点部分: SQL注入。
如果要实现以上功能，那么我们大致可以猜到服务器使用的SQL语句如下：
SELECT ? FROM ? WHERE ? LIKE '%Hammer%';
发表评论