仅使用html防止SQL注入

Question

我正在尝试验证注释框的输入，以便只接受文本，并在用户输入数字（1-0）或符号（@\$%）时提醒消息^

有没有办法在html中做到这一点

Answer 1

简短回答：不，你不能在HTML中这样做。即使只有一个复选框和提交按钮的表单也可能被滥用。

更长的答案...

虽然我强烈反对用HTML和JavaScript无法增强安全性，但对此的全面讨论远远超出了本文的范围。

但最终，您不能假设来自您无法控制的计算机系统的任何数据在任何方面都是安全的（事实上，在许多应用程序中，您不应该假设来自您确实控制的机器的数据是安全的）。

针对任何攻击的主要防御措施是将数据转换为发送和接收组件的已知安全格式，然后再在系统组件之间传递。这里，我们具体讨论的是将数据从服务器端应用程序逻辑传递到数据库。此交换中既不涉及HTML也不涉及JavaScript。

向客户端移动，您可以做出选择。您可以根据数据中的模式验证和接受/拒绝内容以进行进一步处理，或者您可以处理所有数据并信任较低层正确处理内容。通常，人们会选择第一个选项，但这会引发新的安全问题；绘制防御并找到任何漏洞变得很容易。在一个不太重要的理想世界中——更深层次的防御将解决问题，但在现实世界中，开发人员受到时间和能力的限制。如果归结为选择你的技能/时间预算在哪里，那么答案应该总是让输出比验证输入更安全。

Answer 2

有没有办法在html中做到这一点

不。正如其他人所指出的，您不能通过在HTML或Javascript中执行任何操作来提高安全性。

原因是浏览器和服务器之间的通信对攻击者完全透明。任何开发人员都可能熟悉Firefox、Chrome等中的“开发人员工具”。即使是那些在大多数现代浏览器中都存在的工具，也足以创建任意HTML请求（甚至通过HTTPS）。

因此，服务器决不能依赖于请求任何部分的有效性。不是URL，不是GET/POST参数，不是cookies等。；服务器端，你必须自己验证。

避免SQL注入的最佳方法是确保永远不要有这样的代码：

 sql = "select xyz from abc where aaa='" + search_argument + "'"  # UNSAFE
 result = db.execute_statement(sql) 

也就是说，您永远不希望只将字符串连接到一起，以用于SQL语句。

相反，您要做的是使用绑定变量，类似于以下伪代码：

 request = db.prepare_statement("select xyz from abc where aaa=?")
 result = request.execute_statement_with_bind(sql, search_argument)

这样，用户输入永远不会被解析为SQL本身，这使得SQL注入变得不可能。

当然，在客户端检查参数以改善用户体验（避免服务器往返的延迟）仍然是明智的；也许在服务器端也是如此（以避免神秘的错误消息）。但是这些检查不应该与安全性混淆。

Answer 3

你永远不能相信来自客户的东西。您必须始终进行服务器端检查，以阻止SQL注入之类的操作。

当然，您可以添加您提到的客户端验证，但这只是为了帮助用户不要输入垃圾数据。一旦发送到服务器，仍然无法信任它。