要讓 mysql 執行帶參數的 sql，應使用預處理語句。1. 準備 sql 語句：定義帶有占位符（如 ? 或 :name）的 sql 模板；2. 綁定參數：將實際值綁定到占位符；3. 執行語句：安全地運行已編譯的語句。例如 python 使用 mysql.connector 時用 %s 占位符并傳入元組參數，php 使用 pdo 則通過 bindparam 方法綁定命名參數。預處理可防止 sql 注入，因參數始終被視為數據而非可執行代碼。動態生成 sql 時應避免拼接字符串，推薦使用白名單、輸入驗證或 orm 工具。mysql 存儲過程也能執行動態 sql，通過 prepare 和 execute 實現，但仍需注意參數化查詢以確保安全。
要讓 MySQL 執行帶參數的 SQL，你得先理解預處理語句是個好東西。它能有效防止 SQL 注入，而且性能也更好。
解決方案
使用預處理語句是正解。不同編程語言連接 MySQL 的方式不一樣，但核心思想都一樣：
- 準備 (Prepare) SQL 語句: 先定義一個帶有占位符的 SQL 語句，占位符通常用 ? 表示。
- 綁定 (Bind) 參數: 將實際的參數值綁定到這些占位符上。
- 執行 (Execute) 語句: 執行預處理好的 SQL 語句。
舉個 python 的例子，用 mysql.connector 庫：
import mysql.connector mydb = mysql.connector.connect( host="localhost", user="yourusername", password="yourpassword", database="yourdatabase" ) mycursor = mydb.cursor() sql = "SELECT * FROM customers WHERE address = %s" adr = ("Highway 37",) # 注意，這里必須是元組 mycursor.execute(sql, adr) myresult = mycursor.fetchall() for x in myresult: print(x)
這里 %s 就是占位符，adr 變量包含了要綁定的參數值。 注意 adr 必須是元組，即使只有一個參數。
如果用 PHP，可以試試 PDO：
<?php $servername = "localhost"; $username = "yourusername"; $password = "yourpassword"; $dbname = "yourdatabase"; try { $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password); $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); $stmt = $conn->prepare("SELECT * FROM MyGuests WHERE lastname=:lastname"); $stmt->bindParam(':lastname', $lastname); $lastname = "Doe"; $stmt->execute(); $result = $stmt->setFetchMode(PDO::FETCH_ASSOC); foreach(new TableRows(new RecursiveArrayIterator($stmt->fetchAll())) as $k=>$v) { echo $v; } } catch(PDOException $e) { echo "Error: " . $e->getMessage(); } $conn = null; echo "</table>"; ?>
:lastname 是占位符，bindParam 用于綁定參數。
如何避免 SQL 注入攻擊？
SQL 注入是種很常見的安全漏洞。 攻擊者會嘗試在你的輸入里注入惡意 SQL 代碼，從而竊取數據或者破壞數據庫。 預處理語句是防止 SQL 注入的關鍵。 因為預處理語句會將參數值視為數據，而不是 SQL 代碼的一部分。 所以，即使攻擊者輸入了包含 SQL 命令的字符串，這些命令也不會被執行。 不要直接拼接字符串來構建 SQL 語句，這是最危險的做法。
動態生成 SQL 代碼的場景有哪些？
有時候，你可能需要根據用戶的輸入或者其他條件，動態地生成 SQL 代碼。 比如，用戶可以自定義搜索條件，或者選擇排序方式。 這時候，你需要非常小心，避免 SQL 注入。 一種方法是使用白名單機制，只允許用戶選擇預定義的選項。 另一種方法是對用戶的輸入進行嚴格的驗證和過濾，確保它們不包含任何惡意代碼。 還可以使用 ORM (Object-Relational Mapping) 工具，它們通常會提供一些安全的方法來構建動態查詢。 比如，hibernate、mybatis 這些，它們內部已經做了很多防注入的處理。
MySQL 存儲過程能用來執行動態 SQL 嗎？
當然可以。MySQL 存儲過程允許你創建可重復使用的 SQL 代碼塊，并且可以在其中執行動態 SQL。 你可以使用 PREPARE 語句來準備動態 SQL，然后使用 EXECUTE 語句來執行它。 這可以讓你在存儲過程中靈活地構建和執行各種 SQL 查詢。 但是，同樣要記住，即使在存儲過程中使用動態 SQL，也要注意防止 SQL 注入。 可以使用參數化查詢或者對輸入進行驗證，確保安全。 存儲過程的一個好處是，可以將復雜的邏輯封裝在數據庫服務器端，減少客戶端和服務器之間的通信量。
