一、SQL注入攻击的原理
攻击者在HTTP请求中注入恶意的SQL代码，并在服务端执行。
比如用户登录，输入用户名camille，密码 ‘ or ‘1‘=‘1 ，如果此时使用参数构造的方式，就会出现
select * from user where name = ‘camille‘ and password = ‘‘ or ‘1‘=‘1‘
不管用户名和密码是什么，查询出来的用户列表都不为空，这样可以随意看其他用户的信息。
二、SQL注入攻击的防御
1、客户端
//过滤URL非法SQL字符，或者过滤文本框非法字符。 var sUrl = location.search.toLowerCase(); var sQuery = sUrl.substring(sUrl.indexOf("=")+1); reg=/select|update|delete|truncate|join|union|exec|insert|drop|count|‘|"|;|>|<|%/i; if(reg.test(sQuery)) { alert("请勿输入非法字符"); location.href = sUrl.replace(sQuery,""); }
2、服务端
原文：http://www.cnblogs.com/camille666/p/web_safe_sql.html