预编译语句（Prepared Statements）防止SQL注入的原理

最新推荐文章于 2025-06-05 20:59:10 发布

原创最新推荐文章于 2025-06-05 20:59:10 发布 · 1.1k 阅读

15 ·

CC 4.0 BY-SA版权

文章标签：

#sql #数据库 #oracle #MySQL

数据库同时被 2 个专栏收录

23 篇文章

订阅专栏

参数校验

16 篇文章

订阅专栏

预编译语句防止SQL注入的原理

预编译语句（Prepared Statements），防止SQL注入，是怎么实现的？

预编译语句（Prepared Statements）是一种数据库访问技术，它通过将SQL查询与参数分开处理来有效防止SQL注入攻击。以下是预编译语句的工作原理及其如何防止SQL注入的详细说明：

工作原理

准备阶段：
- 客户端向数据库服务器发送一个带有占位符（通常是?或命名参数如:name）的SQL语句模板，而不是完整的SQL命令。
- 例如，对于插入操作，可能发送如下SQL模板：
```
INSERT INTO users (username, password) VALUES (?, ?)
```
- 数据库服务器解析这个SQL模板，并对其进行优化和编译，生成一个执行计划。这个过程只发生一次，即使后续使用相同的SQL模板进行多次执行。
参数绑定：
- 客户端随后提供具体的数据值，这些数据将被绑定到SQL模板中的占位符位置。
- 这些参数通常是以独立的数据包形式发送给数据库服务器，确保它们不会被误解为SQL代码的一部分。
- 继续上面的例子，客户端可能会传递两个参数：'alice' 和 'password123'，它们分别对应于SQL模板中的第一个和第二个问号。
执行阶段：
- 数据库服务器接收到参数后，直接将它们安全地插入到之前编译好的SQL语句中，然后执行这条语句。
- 由于参数是在SQL语句已经被解析和编译之后才加入的，因此它们不可能改变原始SQL语句的结构或意图。

防止SQL注入

语法隔离：预编译语句将SQL逻辑与用户输入的数据明确区分开来，确保了无论用户提供了什么样的输入，都不会影响到SQL语句本身的结构。这有效地阻止了攻击者通过构造特殊字符或字符串来操纵SQL命令的行为。
类型检查：当参数绑定时，数据库会根据预期的数据类型对传入的值进行验证。如果提供的值不符合预期类型（比如将文本作为整数），数据库将拒绝执行该操作，从而进一步增强了安全性。
避免拼接：传统上，动态构建SQL语句的方式是通过字符串拼接来完成的，这种方式容易受到SQL注入攻击的影响。而预编译语句不需要手动拼接SQL字符串，减少了出错的可能性。
性能优化：除了安全优势外，预编译语句还可以提高性能，因为SQL语句只需要被解析和编译一次，之后可以重复使用同一个执行计划，尤其是在需要频繁执行相同模式的查询时。

使用示例

在不同的编程语言和框架中，预编译语句的具体实现方式略有不同。以下是一些常见编程语言中的简单示例：

Java (JDBC):

String sql = "INSERT INTO users (username, password) VALUES (?, ?)";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, "alice");
pstmt.setString(2, "password123");
pstmt.executeUpdate();

Python (SQLite3):

import sqlite3
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
cursor.execute("INSERT INTO users (username, password) VALUES (?, ?)", ('alice', 'password123'))
conn.commit()

PHP (PDO):

$stmt = $pdo->prepare('INSERT INTO users (username, password) VALUES (:username, :password)');
$stmt->execute(['username' => 'alice', 'password' => 'password123']);