SQL injection

SQL注入
当程序员连接字符串以汇编SQL指令时，就会发生SQL注入。字符串是纯数据，而SQL指令是可执行代码。

1. 用户可以以HTML形式输入摘要或SQL代码片段作为输入，然後将其发布到後端服务器进行处理。
2. 如果程序员将从攻击者发布的SQL代码视为普通数据，并将它们与主要SQL指令结合在一起，则组装的SQL代码可以成功执行。这就是SQL注入的工作方式。

从字符串组装的SQL查询
下面是一个示例，该示例在不使用SQL参数的情况下将字符串组合到SQL查询中。用户输入$ email和$ password扩展为原始字符串（如以下红色文本所示），并组合为一个SQL查询。
从用户那里选择*电子邮件= 'xxx @ xxx.xxx'和密码= md5（' xxx'）或1 = 1--] '）;

参数化查询示例
@Age是SQL查询@SqlInstruction中使用的参数。
宣告@SqlInstruction NVARCHAR（500）;
SET @SqlInstruction = N'SELECT * FROM从用户年龄= @Age ;';
EXEC sp_executesql @ SqlInstruction，N'@ Age INT'，99 ;

参考文献
.基於角色的访问控制与基於属性的访问控制：如何选择
.RBAC与ABAC访问控制模型：有什麽区别？
.SQL注入示例–参数化查询–印地语

资料来源：Wentz Wu QOTD-20201105