什么是sql注入？如何有效防止sql注入？

一、什么是sql注入

　　利用程序员的代码bug，将输入的参数绕过校验并在系统中当做代码运行，从而攻击系统。

二、如何避免sql注入

1.对sql语句进行预编译

　　PreparedStatement类可以对sql语句进行预编译，那么传入的参数只会被当做参数而不会被当做代码去运行。

2.存储过程　　

　　存储过程是被编译后存储在数据库中的，所以它不会有sql注入的隐患。

3.mybatis框架可避免sql注入

　　mybatis进行参数传递的占位符有两种#{}和${},#{}在进行参数传递时会先进行sql编译然后再替换参数，所以不会有sql注入的问题，${}进行参数传递时会先拼接sql然后进行sql编译，会有安全隐患。因此非特殊情况，尽量使用#{}进行参数传递。

4.mybatis中like的安全风险

　　select * from test clomn like '%${filed}%'. 该sql语句有注入风险，改为select * from test clomn like concat('%',#{filed},'%')。

5.入参的安全校验

　　前后端可对输入的参数进行特殊字符过滤，避免别有用心的参数进入。