mysql存储过程如何防止SQL注入风险_参数化绑定与变量转义技巧-mysql教程-PHP中文网

mysql存储过程防注入关键在动态sql写法：数据值必须用prepare+execute+?占位符，表名列名等标识符须白名单校验后concat拼接，严禁直接拼接用户输入。

mysql存储过程如何防止sql注入风险_参数化绑定与变量转义技巧

MySQL 存储过程本身不自动防注入，关键在怎么写——只要用 CONCAT 拼接用户输入，哪怕只拼一个单引号，就等于把数据库大门钥匙交出去。

所有用户可控的数据值（比如 WHERE 条件、INSERT 的 VALUES、UPDATE 的 SET 值）都得走 ? 占位符，由 MySQL 服务端做类型绑定和边界隔离。

✅ 安全写法：SET @sql = 'SELECT * FROM users WHERE status = ? AND created_at > ?'; PREPARE stmt FROM @sql; EXECUTE stmt USING @status_val, @time_val;
❌ 危险写法：SET @sql = CONCAT('SELECT * FROM users WHERE name = ''', in_name, ''''); —— 攻击者传 in_name = 'admin'' OR ''1''=''1' 就直接绕过
⚠️ 注意：USING 后面只能跟用户变量（@xxx），不能直接写存储过程参数（如 in_name），否则报错 ERROR 1318 (42000)
? 实操建议：先显式赋值 SET @name_param = in_name;，再 EXECUTE stmt USING @name_param;

? 在 MySQL 里只认“数据值”，对表名、列名、函数名、LIMIT 偏移量这些语法结构完全无效。强行用会直接报错 ERROR 1064 (42000)。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

❌ 错误尝试：SET @sql = 'SELECT * FROM ? WHERE id = ?'; —— 第一个 ? 不被支持
✅ 正确做法：白名单硬校验 + CONCAT 拼接，例如：IF in_table NOT IN ('users', 'orders', 'logs') THEN SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = 'Invalid table'; END IF;
? 常见易忽略点：ORDER BY 字段、GROUP BY 列、SELECT 中的别名、甚至 LIMIT ?, 10 中的第一个参数（偏移量）都属于标识符范畴，不能用 ?

@xxx 变量跨 EXECUTE 有效，但作用域仅限当前连接，且类型隐式转换容易静默失败。

⚠️ 类型错配：@id_param 是字符串但目标字段是 INT，MySQL 可能转成 0，查不到数据也不报错
⚠️ NULL 问题：USING @val 传入 NULL，生成的条件是 col = NULL（永远为 FALSE），得单独判断 IF in_val IS NULL THEN ... ELSE ... END IF;
⚠️ 作用域混淆：不要依赖 @xxx 在多次存储过程调用间保持值——退出后就销毁，下次调用是全新状态
? 推荐写法：SET @val = IFNULL(in_input, ''); 或显式类型转换：SET @id_param = CAST(in_id AS UNSIGNED);