SQL注入尤其是字符串型注入尤为明显且容易，下面以登录校验为例简单介绍其原理和防御策略 。
登录接口SQL
根据用户名和密码获取用户数据：
正常情况下的请求体Application/json：
所得到的SQL：
SQL注入下的请求体
此时得到的SQL将是：
成功注入的原因：
和原来的结合
后面的sql组成部分变成了注释，失去了原来的and逻辑判断作用
且永远为真
结果：
将会造成用户表所有数据的泄露
SQL注入防御
阻止SQL注入的方法主要是利用现有数据库第三方库完善的防SQL注入的特性，避免重复造轮子
原始SQL情况下
使用%s占位符，利用PyMySQL自带的防注入特性
ORM情况下
【SQL注入原理及防御】SQLAlchemy ORM已经对SQL注入进行了处理，直接使用ORM语法即可，不需要特别处理 。
推荐阅读
- 获取linux内存、cpu、磁盘IO等信息shell脚本及其原理详解
- 芍药花怎么吃效果最好,吃生蚝能壮阳吗原理是什么生蚝怎么吃壮阳效果最好
- 吃什么壮阳效果最好,吃生蚝能壮阳吗原理是什么生蚝怎么吃壮阳效果最好
- 喇叭 扬声器的原理与检测
- MySQL性能优化实践
- CentOS7下yum方式安装MySQL5.7数据库
- PostgreSQL的最佳群集高可用性方案
- 生物燃料的原理和优势是什么
- 天然气化学成分及原理介绍
- MySQL必须要掌握的常用查询语句