所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
1.在前台页面对用户的信息通过js进行验证，对特殊字符进行屏蔽
在后台正则表达式验证
2.限制用户名输入的长度，一般是6-13位
3.对敏感数据进行md5加密
4.对http头进行验证，是否来自浏览器
5.最好不要动态拼装sql，使用？的方式传参
6.自定义错误页面，不要把程序错误信息页面展示在用户面前，从而暴露后台信息
原文：http://www.cnblogs.com/bigmonkeys/p/7835388.html