在当今数字化时代，Web应用程序的安全性至关重要，而SQL注入攻击是其中一个常见且极具威胁性的安全隐患。SQL注入攻击指的是攻击者通过在应用程序的输入字段中添加恶意的SQL代码，从而绕过应用程序的安全机制，非法访问、修改或删除数据库中的数据。为了保障Web应用程序的安全，我们需要从代码层面采取有效的措施来防止SQL注入。本文将详细介绍代码层面防止SQL注入的核心要点，并提供相应的示例。

核心要点一：使用参数化查询

参数化查询是防止SQL注入的最有效方法之一。它将SQL语句和用户输入的数据分开处理，数据库系统会自动对输入的数据进行转义，从而避免恶意代码的注入。大多数编程语言和数据库驱动都支持参数化查询。

在Python中，使用"sqlite3"库进行参数化查询的示例如下：

import sqlite3

# 连接到数据库
conn = sqlite3.connect('example.db')
cursor = conn.cursor()

# 定义SQL语句，使用占位符
sql = "SELECT * FROM users WHERE username =? AND password =?"

# 用户输入的数据
username = "admin' OR '1'='1"
password = "password"

# 执行参数化查询
cursor.execute(sql, (username, password))
results = cursor.fetchall()

# 输出结果
for row in results:
    print(row)

# 关闭连接
conn.close()

在上述示例中，"?"是占位符，"cursor.execute"方法的第二个参数是一个元组，包含了用户输入的数据。数据库系统会自动对这些数据进行转义，从而防止SQL注入。

在Java中，使用"PreparedStatement"进行参数化查询的示例如下：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class ParameterizedQueryExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/mydb";
        String username = "root";
        String password = "password";

        try (Connection conn = DriverManager.getConnection(url, username, password)) {
            // 定义SQL语句，使用占位符
            String sql = "SELECT * FROM users WHERE username =? AND password =?";
            PreparedStatement pstmt = conn.prepareStatement(sql);

            // 设置参数
            pstmt.setString(1, "admin' OR '1'='1");
            pstmt.setString(2, "password");

            // 执行查询
            ResultSet rs = pstmt.executeQuery();

            // 处理结果
            while (rs.next()) {
                System.out.println(rs.getString("username"));
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

在Java中，"PreparedStatement"会自动处理参数的转义，确保输入的数据不会影响SQL语句的结构。

核心要点二：输入验证与过滤

除了使用参数化查询，对用户输入进行验证和过滤也是防止SQL注入的重要步骤。通过对用户输入的数据进行格式和范围的检查，可以提前排除可能包含恶意代码的输入。

例如，在一个注册页面中，要求用户输入的用户名只能包含字母和数字。可以使用正则表达式进行验证：

import re

username = input("请输入用户名：")
pattern = re.compile(r'^[a-zA-Z0-9]+$')

if pattern.match(username):
    print("用户名格式正确")
else:
    print("用户名只能包含字母和数字")

在上述示例中，使用正则表达式"^[a-zA-Z0-9]+$"来验证用户名是否只包含字母和数字。如果输入不符合要求，则提示用户重新输入。

另外，对于一些敏感字符，如单引号、双引号、分号等，可以进行过滤或转义。例如，在Python中可以使用"replace"方法进行简单的过滤：

input_data = "admin' OR '1'='1"
filtered_data = input_data.replace("'", "''")
print(filtered_data)

在上述示例中，将单引号替换为两个单引号，从而避免SQL注入。

核心要点三：最小化数据库权限

为了降低SQL注入攻击的风险，应该为应用程序的数据库账户分配最小的必要权限。例如，如果应用程序只需要查询数据，那么就不应该为该账户分配修改或删除数据的权限。

在MySQL中，可以使用"GRANT"语句来为用户分配权限。例如，为一个名为"app_user"的用户分配只查询"users"表的权限：

GRANT SELECT ON mydb.users TO 'app_user'@'localhost';

通过这种方式，即使攻击者成功注入了SQL代码，由于账户权限的限制，他们也无法对数据库造成严重的破坏。

核心要点四：使用存储过程

存储过程是一组预先编译好的SQL语句，存储在数据库中。使用存储过程可以将SQL逻辑封装起来，减少直接在应用程序中编写SQL语句的风险。

在SQL Server中，创建一个简单的存储过程来查询用户信息：

CREATE PROCEDURE GetUser
    @username NVARCHAR(50),
    @password NVARCHAR(50)
AS
BEGIN
    SELECT * FROM users WHERE username = @username AND password = @password;
END;

在应用程序中调用该存储过程：

using System;
using System.Data.SqlClient;

class Program
{
    static void Main()
    {
        string connectionString = "Data Source=YOUR_SERVER;Initial Catalog=YOUR_DATABASE;User ID=YOUR_USER;Password=YOUR_PASSWORD";
        using (SqlConnection connection = new SqlConnection(connectionString))
        {
            SqlCommand command = new SqlCommand("GetUser", connection);
            command.CommandType = System.Data.CommandType.StoredProcedure;

            command.Parameters.AddWithValue("@username", "admin' OR '1'='1");
            command.Parameters.AddWithValue("@password", "password");

            connection.Open();
            SqlDataReader reader = command.ExecuteReader();
            while (reader.Read())
            {
                Console.WriteLine(reader["username"]);
            }
            reader.Close();
        }
    }
}

存储过程会自动处理参数的传递，减少了SQL注入的风险。

核心要点五：定期更新和维护

保持应用程序和数据库管理系统的更新是防止SQL注入的重要措施。软件供应商会不断修复安全漏洞，因此及时更新到最新版本可以有效降低被攻击的风险。

此外，定期对应用程序进行安全审计和漏洞扫描，及时发现和修复潜在的安全问题。可以使用一些专业的安全工具，如Nessus、Burp Suite等，来进行漏洞扫描。

综上所述，防止SQL注入需要从多个方面入手，包括使用参数化查询、输入验证与过滤、最小化数据库权限、使用存储过程以及定期更新和维护等。通过采取这些措施，可以有效提高Web应用程序的安全性，保护用户数据的安全。