SQL注入是一种常见的网络攻击，攻击者通过在SQL查询语句中插入恶意代码来获得对数据库的访问权限。为了防止SQL注入，开发者可以采用以下几种 ：
参数化SQL查询
参数化SQL查询是防止SQL注入的一种安全 。它通过使用参数占位符来传递查询参数，从而避免恶意代码被直接嵌入到SQL语句中。
例如，下面的SQL查询使用参数化占位符"@"来传递用户名：
SELECT * FROM users WHERE username = @username
当执行查询时，数据库引擎会将参数值"@"替换为实际的用户名值，从而防止恶意代码注入。
使用预处理语句
预处理语句是一种比参数化查询更加安全的SQL查询方式。预处理语句首先在数据库服务器上编译，然后才执行。这可以防止恶意代码在编译过程中被注入到SQL语句中。
在大多数编程语言中，预处理语句都可以通过使用内置的API来创建。例如，在Python中，可以使用以下代码来创建预处理语句：
import pymysql
conn = pymysql.connect(...)
cursor = conn.cursor()
sql = "SELECT * FROM users WHERE username = %s"
cursor.execute(sql, ('username',))
数据类型转换
数据类型转换可以防止攻击者注入非法的SQL语句。当用户输入传递到SQL查询中时，可以对输入进行数据类型转换以确保其具有正确的格式。
例如，下面的SQL语句使用CAST()函数将用户输入强制转换为整数类型：
SELECT * FROM users WHERE id = CAST(@id AS INT)
这可以防止攻击者输入非整数字符，例如字符串或特殊字符。
白名单验证
白名单验证涉及创建允许用户输入值的预定义列表。当用户输入传递到SQL查询时，可以验证输入是否与白名单中的值匹配。
例如，下面的代码显示了使用白名单验证来防止SQL注入的Python函数：
def validate_input(input, allowed_values):
if input not in allowed_values:
raise ValueError("Invalid input")
