SQL注入是一个漏洞，攻击者通过用户输入插入恶意SQL——操纵数据库查询以窃取数据、绕过身份验证或破坏数据。它是最危险和经典的网络漏洞之一，但可以通过适当的技术来防止。
When user input is concatenated directly into a SQL query, an attacker can INJECT SQL:
// ❌ VULNERABLE — user input concatenated into the query
const query = `SELECT * FROM users WHERE email = ''`;
攻击者的输入被视为SQL代码而不是数据——让他们重写查询（绕过登录、转储所有数据、删除表）。
// ✅ PARAMETERIZED / PREPARED statements — input is treated as DATA, never as code
const query = 'SELECT * FROM users WHERE email = ?';
db.execute(query, [userInput]); // the value is safely bound, not concatenated
// → the database treats userInput as a literal value → injection impossible
**参数化查询（预编译语句）**将SQL代码与数据分离——输入永远不能被解释为SQL。这是主要的、可靠的防御。
✓ PARAMETERIZED queries / prepared statements → the #1 fix (always use them)
✓ ORMs/query builders → use parameterization under the hood (but don't bypass with raw
string concatenation)
✓ INPUT VALIDATION (defense in depth) — validate/sanitize, but NOT a substitute for
parameterization
✓ LEAST PRIVILEGE DB accounts (limit damage); avoid exposing detailed DB errors
→ NEVER build queries by concatenating user input.
理解SQL注入以及如何防止它至关重要，因为它是最危险、最经典、最常见的网络漏洞之一（属于OWASP注入类别），但完全可以预防，因此对任何使用数据库的开发者来说都是必须掌握的安全知识。
理解它如何工作——将用户输入直接连接到SQL查询中会让攻击者能够注入SQL代码（他们的输入被视为代码而不是数据），使他们能够绕过身份验证（' OR '1'='1）、转储所有数据甚至删除表（'; DROP TABLE）——是必需的以识别和避免该漏洞。
SQL注入可能具有灾难性（完整数据泄露、数据破坏、身份验证绕过），使其至关重要。
理解防止方法至关重要：参数化查询（预编译语句）是主要的、可靠的修复——它们将SQL代码与数据分离，所以用户输入被视为永远不能被解释为SQL的文字值，使注入成为不可能。
这是每个开发者必须使用的#1防御。
理解额外防御——使用ORM/查询构建器（它们参数化，但不绕过它们的原始连接）、输入验证作为深度防御（但不是参数化的替代品）、最小权限数据库账户以及避免详细的错误暴露——以及永远不要将用户输入连接到查询中的基本规则反映了全面的防止。
Since SQL注入是一个危险、常见和经典的漏洞，具有严重后果（数据泄露、数据丢失、身份验证绕过），完全可以通过参数化查询防止，并且理解它如何工作以及如何防止它对任何使用数据库的开发者来说都是必不可少的，因此理解SQL注入及其防止是必不可少的、必须掌握的安全知识——一个基本漏洞，必须理解和防御，其中简单、可靠的修复（参数化查询）是关键知识，可防止最具破坏性的攻击类之一。