WAF と OneRASP は両方とも SQL インジェクションに対して効果的です。WAF はアプリケーションの前に配置され、ルールの一致によって SQL インジェクションをより効果的に防ぐことができます。ただし、SQL ステートメントがアプリケーション内で具体的にどのように使用されるかは不明です。いくつかのパラメータに基づいて SQL インジェクションであるかどうかを判断するだけでは十分ではありません。これには、管理者がアプリケーションに関する十分な知識を持ち、アプリケーションに対して非常に複雑な構成を行う必要があり、その結果、偶発的に強制終了される率も比較的高くなります。
OneRASP は、ワクチンのようにアプリケーションに保護プログラムを挿入し、アプリケーションのコンテキストを熟知し、JDBC ステートメント プログラム内でアプリケーションを保護します。 SQL ステートメントであると同時に、結果がどうなるかは非常に明確です。これは注射かどうかを判断するための非常に基礎となります。過失致死率も非常に低くなります。
OneRASP には他にも多くの利点があります。興味のある学生は、www.oneASP.com にアクセスするか、baidu で検索してください。

前処理、パラメータとクエリを分離

明らかに誰もがパラメータ化について知っています。では、パラメータ化をうまく行うにはどうすればよいでしょうか?クエリが SQL の文字列構築 (再帰や動的レベル結合など) を必要とするほど複雑でない場合は、次の方法を使用してほぼすべての状況を解決できます。

2. クライアント (または Web サイト) はストアド プロシージャのみにアクセスします。
3. クライアントがストアド プロシージャにのみアクセスできるように、実行権限のみを有効にします。

Web サイトにインジェクションの脆弱性がある可能性があることを理解したので、インジェクションの原理を理解したはずです。そのため、これらの複雑で洞察力のあるフィルタリング方法については考えたくないと思います。インジェクション ステートメント、古いデータベース クエリ方法を使用する代わりに ORM を使用するのが最善の方法だと思います。 Java を使用してバックエンドを作成している場合、Hibernate は試してみる価値のあるフレームワークです。

1. エスケープ入力

2. ORM フレームワークを使用する

SQL をフィルタリングすると

1. 取得したデータをデータベースアクセス用の SQL に直接使用しないようにしてください

2. Struts などの便利なフレームワークがある場合は、

をインターセプトするようにインターセプターをカスタマイズできます。

3. ORM フレームワークを使用する

ここで初心者が答えます: 簡単な SQL インジェクションメソッドを教えてください

SQL インジェクションを防ぐ最も効果的な方法は、入力をエスケープすることです。

ユーザー入力データを信用しないでください。