浅谈sql注入

sql注入，就是把用户输入当成sql的一部分去执行了。可能会造成数据泄露，权限提升，数据篡改等

因为不安全的字符串拼接，缺乏输入验证，容易导致sql注入。使用参数化查询，隔离代码和数据。

使用参数化查询，或预编译语句，将用户输入和sql语句分离，避免用户输入被直接解析为sql。使用orm框架，避免拼接

orm框架底层默认使用预编译机制，使用了占位符#。