web应用程序中SQL注入问题

亦凉 2024-04-03 09:17 75阅读 0赞

![在这里插入图片描述][07c2a505a314441e966ecadcd2dae750.jpeg_pic_center]

--------------------

**SQL注入是一种代码注入技术，一般被应用于攻击web应用程序。它通过在web应用接口传入一些特殊参数字符，来欺骗应用服务器，执行恶意的SQL命令，以达到非法获取系统信息的目的。它目前是黑客对数据库进行攻击的最常用手段之一。**

**举个常见的业务场景：在web表单搜索框输入员工名字，然后后台查询出对应名字的员工。  
这种场景下，一般都是前端页面,把一个名字参数username传到后台，然后后台通过SQL把结果查询出来**

# 1、导入mysql
    from pymysql import *
    
    # 2、创建数据库lianjie
    conn = connect(host='localhost',
                   port=3306,
                   user='root',
                   mm='xxxxxx',
                   db='ceshi_platform',
                   charset='utf8')
    print(conn)
    # 3、打开游标
    cur=conn.cursor()
    # 4、执行sql语句
    # 让用户输入用户名和密码
    username=input('请输入用户名：')
    
    # 编写sql语句
    sql="select * from auth_user where username='%s'"%(username)
    print(sql)
    # 执行sql语句，返回查询到的记录条数rowcount，如果是rowcount不为0，则登录成功，否则登录失败
    rowcount = cur.execute(sql)
    if rowcount!=0:
        print('登录成功')
    else:
        print('登录失败')
    
    # 5、关闭游标
    cur.close()
    # 6、关闭连接
    conn.close()

**执行结果:**

请输入用户名：' or '1=1
    select * from auth_user where username='' or '1=1'
    登录成功

### 如何预防SQL注入问题 ###

> **对sql语句进行参数化**

# 1、导入mysql
    from pymysql import *
    
    # 2、创建数据库lianjie
    conn = connect(host='localhost',
                   port=3306,
                   user='root',
                   mm='xxxxxx',
                   db='ceshi_platform',
                   charset='utf8')
    print(conn)
    # 3、打开游标
    cur=conn.cursor()
    # 4、执行sql语句
    # 让用户输入用户名和密码
    username=input('请输入用户名：')
    
    # 编写sql语句
    sql="select * from auth_user where username=%s"
    params=(username,)
    print(sql)
    # 执行sql语句，返回查询到的记录条数rowcount，如果是rowcount不为0，则登录成功，否则登录失败
    rowcount = cur.execute(sql,params)
    if rowcount!=0:
        print('登录成功')
    else:
        print('登录失败')
    
    # 5、关闭游标
    cur.close()
    # 6、关闭连接
    conn.close()

**执行结果:**

请输入用户名：' or '1=1
    select * from auth_user where username=%s
    登录失败

--------------------

![在这里插入图片描述][29a71a4f46f04ea387551d38e6d36a1a.gif_pic_center]

[07c2a505a314441e966ecadcd2dae750.jpeg_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/03/6982470d21114d1bb582e7fea6e0102b.jpeg
[29a71a4f46f04ea387551d38e6d36a1a.gif_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/03/0069ce9a507b40b890df468f406eb20f.gif