SQL注入（SQL Injection，简称SQLi）是一种针对数据驱动型应用的网络攻击手段。在这样的攻击中，攻击者通过向应用程序输入恶意的SQL代码，以控制Web应用程序与后端数据库之间的交互，从而获取敏感信息或执行未经授权的操作。
SQL注入通常发生在开发者没有正确验证或者过滤用户输入的情况下。例如，在登录表单中，如果程序员直接将用户名和密码作为参数拼接到SQL查询语句中，而没有对这些输入进行适当的检查，那么攻击者就可以构造特定格式的字符串来改变原始查询逻辑，实现诸如绕过身份验证、读取任意数据、修改甚至删除数据库内容等目的。
怎样预防它对网站服务器造成威胁
为了防止SQL注入攻击给网站服务器带来的安全风险，可以采取以下措施：
使用预编译语句和参数化查询
这是最有效的防范方法之一。通过使用预编译语句，我们可以确保用户的输入不会被解释为SQL命令的一部分，而是仅仅作为值传递给数据库。大多数现代编程语言和框架都提供了内置的支持，例如Python中的Psycopg2库、Java中的PreparedStatement类以及PHP中的PDO扩展等。
最小权限原则
确保用于连接数据库的应用程序账户只拥有完成其工作所需的最低限度权限。例如，如果一个应用程序只需要读取某些表格的数据，则不应授予该应用程序账户写入或删除权限。这样即使发生SQL注入攻击，攻击者也无法滥用这些权限去破坏更多数据。
输入验证
对所有来自用户的输入进行全面严格的验证，包括但不限于长度限制、字符集限制、格式检查等等。避免直接使用未经处理过的用户输入构建SQL查询语句。还可以考虑使用正则表达式等方式进一步增强输入验证的效果。
定期更新和打补丁
保持所使用的软件和技术栈处于最新版本非常重要，因为开发人员会不断修复已知的安全漏洞。及时安装官方发布的安全补丁可以有效减少被利用的可能性。
错误处理
不要在生产环境中暴露详细的数据库错误信息给最终用户。当遇到异常情况时，应该返回通用性的错误消息，并记录足够的日志供内部调试使用。这有助于隐藏有关数据库结构的信息，使得攻击者更难以成功实施SQL注入攻击。
使用Web应用防火墙(WAF)
部署WAF可以在一定程度上帮助检测并阻止SQL注入攻击。虽然这不是万无一失的解决方案，但它可以在不修改现有代码的前提下提供额外一层保护。
