SQL 注入是最老牌的漏洞之一，但到今天依然常见：一个搜索框、一个筛选参数，没处理好就成了数据库的后门。防护核心就一条——参数化查询，没有例外。
## 一、参数化是底线
所有和数据库交互的查询，都用参数化，不拼字符串。我们做开发把参数化写成硬性规范，不靠开发自觉。
## 二、输入要校验
参数类型、长度、范围，按白名单收。我们做安全把输入校验作为第二道关，拦掉异常请求。
## 三、权限要最小
数据库账号只给业务必需的权限，不图省事给全权。我们做安全把数据库权限收最小，即便注入也拿不到不该拿的。
## 四、日志与告警要跟
异常查询模式要能发现。我们做监控把可疑查询特征纳入告警，注入尝试早知道。
SQL 注入防护，我们按「参数化、校验严、权限小、告警跟」来做，让数据库不轻易被撬开。
—
担心网站安全、怕被黑被挂马？安全防御 / SSL 托管 / 网站加速我们都能接。微信 jeans2045、QQ 361611074，先聊再给方案。