MySQL数据库防SQL注入原理

每一个语言都有本身的数据库框架或库，不管是哪一种语言，哪一种库，它们在数据库防注入方面使用的技术原理无外乎下面介绍的几种方法。

1、特殊字符转义处理

Mysql特殊字符指在mysql中具备特殊含义的字符，除了%和_是mysql特有的外，其余的和咱们在C语句中接触的特殊字符同样。

特殊字符	转义字符	特殊意义
\0	\\0	字符串结束符NUL
'	\'	单引号
"	\"	双引号
\b	\\b	退格
\n	\\n	换行
\r	\\r	回车
\Z	\\Z	Control+Z
\	\\	反斜杠
%	\%	百分号，模糊查询中匹配任意个任意字符
_	\_	下划线，模糊查询中匹配单个任意字符

mysql C API提供了mysql_real_escape_string函数对转义字符进行处理，但根据实际经验，在使用该API时会产生诸多问题。
所以本身实现了一个相似的函数：

std::string MysqlEscapeString(const std::string &strSql) {
        size_t iSrcSize = strSql.size();
        std::string strDest;
        for (size_t i = 0; i < iSrcSize; i++) {
            char ch = strSql[i];
            switch (ch)
            {
            case '\0':
                strDest.append("\\0");
                break;
            case '\n':
                strDest.append("\\n");
                break;
            case '\r':
                strDest.append("\\r");
                break;
            case '\'':
                strDest.append("\\'");
                break;
            case '"':
                strDest.append("\\\"");
                break;
            case '\\':
                strDest.append("\\\\");
                break;
            case '%':
                strDest.append("\\%");
                break;
            case '_':
                strDest.append("\\_");
                break;
            default:
                strDest.append(1, ch);
                break;
            }
        }

        return strDest;
    }

对于%和_这2个只在模糊查询条件中有特殊含义，而在普通字符串中没有其余含义的字符，须要根据字符使用在SQL语句中的具体位置来决定是否须要处理。如咱们要查询memberName包含t_st的用户信息：

select * from member where memberName like '%t_st%;

若是不对_进行转义处理则会查询出：

test
tast
tbst
t_st

2、Prepared SQL Statement（预处理语句）

SET @sql = "SELECT * FROM member WHERE memberName like ?";
SET @param = '%t_st%';

PREPARE stmt FROM @sql;
EXECUTE stmt using @param;
DEALLOCATE PREPARE stmt;

使用这种方法须要注意如下2点：
1) ?占位符不能用在字符串中，上面例子若是写成下面这样是错误的。

SET @sql = "SELECT * FROM member WHERE memberName like '%?%'";
SET @param = 't_st';

PREPARE stmt FROM @sql;
EXECUTE stmt using @param;
DEALLOCATE PREPARE stmt;

2) EXECUTE stmt USING @param;中使用的@param变量，是会话级别的变量。该变量的做用域至整个链接，链接断开以后该变量才会释放。重复使用相同变量时要留意了。