申論題

https://blog.kennycoder.io/2020/01/09/SQL-injection-原理介紹與防範教學-工程師絕不能犯的低級錯誤/

透過修改 SQL 語句，進而有辦法達到存取資料庫資料的功能。

防範 SQL injection 方法

1. Escape Parameters

   也就是透過正規表達式來對使用者輸入的參數進行檢查，如果有符合 SQL 語法的關鍵字，則將它替換成合法字元等作法。

   缺點：

   1. SQL 語法關鍵字一旦新增，檢查規則就要跟著改變
   2. 總會有漏網之魚，無法全面防範

2. Query Parameterization

   參數化查詢，絕大多數的情況用這防範方式是最安全的！可以說是唯一安全解法！其實它的原理就是資料庫語法中的佔位符號。

   3.  White List 白名單機制

這個白名單機制是在特殊的情況下使用的，也就是在 Query Parameterization 可能會失效的情況下使用。