别名：SQL注入
本词条约 187 字 | 阅读约 1 分钟 | 更新于 2026-06-08
SQL 注入是把可执行 SQL 片段「塞」进未妥善处理的输入中，让数据库执行攻击者意图的查询，从而窃取、篡改或删除数据。它是 Web 应用的经典高危漏洞，根源在于拼接 SQL 时未对用户输入做参数化处理。
使用参数化查询（预编译语句）而非字符串拼接、对输入做校验与转义、数据库账号按最小权限授权、关闭错误细节回显。配合 WAF 能拦截常见攻击，但根治仍要程序写法正确。