MySQL中模糊查询如何防止SQL注入
SQL注入是一种常见的Web应用程序漏洞，攻击者通过在用户输入中插入恶意的SQL代码来执行未经授权的数据库操作。在MySQL中，使用模糊查询操作时，我们需要注意防止SQL注入，以保证系统的安全性。
1. 什么是SQL注入？
SQL注入是指攻击者通过在用户输入的数据中插入SQL代码，从而在应用程序中执行恶意的SQL查询。SQL注入漏洞通常出现在未正确过滤、转义用户输入的地方，例如表单提交、URL参数等。
例如，下面是一段简单的PHP代码，用于从数据库中查询用户名和密码：
$username = $_POST['username'];
$password = $_POST['password'];
$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysql_query($query);
如果攻击者将$username设置为' OR 1=1 --，将$password设置为空，那么构成的SQL语句将变成：
SELECT * FROM users WHERE username = '' OR 1=1 -- ' AND password = ''
由于1=1始终成立，这个查询将返回所有用户的数据，导致系统安全性受到威胁。
2. 防止SQL注入的方法
为了防止SQL注入，我们需要对用户输入进行过滤和转义，以确保SQL语句中的特殊字符被正确处理。下面是一些常用的方法：
2.1. 使用参数化查询（预处理语句）
参数化查询是一种使用占位符（通常使用?）来代替实际的参数值，然后将参数值作为参数传递给数据库引擎的查询语句。使用参数化查询可以防止SQL注入，因为参数值不会被解释为SQL语句的一部分。
以下是一个使用参数化查询的示例：
$username = $_POST['username'];
$password = $_POST['password'];
$query = "SELECT * FROM users WHERE username = ? AND password = ?";
$stmt = $mysqli->prepare($query);
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();
在上述代码中，我们使用prepare方法创建一个预处理语句，并使用bind_param方法将参数绑定到查询语句中的占位符上。参数类型"ss"指示两个参数都是字符串类型。
使用参数化查询可以确保输入的数据不被解释为SQL语句的一部分，从而有效防止SQL注入。
2.2. 使用转义函数
另一种防止SQL注入的方法是使用转义函数对用户输入进行转义。转义函数会将特殊字符转义为安全的字符序列，从而确保这些字符被视为普通文本而不是SQL代码的一部分。
在MySQL中，可以使用mysqli_real_escape_string函数对字符串进行转义。以下是一个示例：
$username = $_POST['username'];
$password = $_POST['password'];
$username = $mysqli->real_escape_string($username);
$password = $mysqli->real_escape_string($password);
$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = $mysqli->query($query);
在上述代码中，我们使用real_escape_string函数对$username和$password进行转义，确保特殊字符被正确处理。
注意：使用转义函数时，需要确保连接到数据库的MySQLi对象已经创建。
2.3. 输入验证
除了过滤和转义用户输入，还可以进行输入验证，以确保输入符合预期的格式和范围。输入验证可以通过正则表达式、白名单等方式实现。
例如，对于用户名字段，我们可以使用正则表达式验证输入是否为字母或数字的组合：
$username = $_POST['username'];
if (!preg_match("/^[a-zA-Z0-9]+$/", $username)) {
// 非法的用户名格式
exit;
}
$query = "SELECT * FROM users WHERE username = '$username'";
$result = $mysqli->query($query);
通过输入验证，我们可以排除一些恶意输入
