连接MySQL时如何避免SQL注入

为了避免 SQL 注入，您可以采取以下措施：

1. 使用参数化查询（Prepared Statements）：参数化查询是一种将参数与 SQL 语句分开处理的方法。这样可以确保用户输入不会被解释为 SQL 代码，从而防止 SQL 注入。在 Python 中，您可以使用 pymysql 库的 cursor.execute() 函数实现参数化查询。例如：

import pymysql

connection = pymysql.connect(host='localhost', user='user', password='password', db='database')
cursor = connection.cursor()

user_id = 1
sql = "SELECT * FROM users WHERE id = %s"
cursor.execute(sql, (user_id,))
results = cursor.fetchall()

2. 使用 ORM（对象关系映射）库：ORM 库可以帮助您将数据库操作抽象为面向对象的操作，从而降低 SQL 注入的风险。例如，在 Python 中，您可以使用 SQLAlchemy 或 Django ORM 等库。

3. 对用户输入进行验证和清理：在处理用户输入之前，始终验证并清理数据。您可以使用正则表达式、内置函数或第三方库来验证数据类型、长度和格式。同时，避免使用用户输入直接构造 SQL 语句。

4. 使用最小权限原则：为数据库连接分配尽可能低的权限。这样，即使攻击者利用 SQL 注入漏洞，他们也无法执行危险的操作，如删除表或插入恶意数据。

5. 定期更新和打补丁：确保您使用的数据库管理系统和相关库都是最新版本，以修复已知的安全漏洞。

6. 使用 Web 应用程序防火墙（WAF）：WAF 可以帮助您检测和阻止 SQL 注入攻击，从而提高应用程序的安全性。

通过采取这些措施，您可以大大降低应用程序受到 SQL 注入攻击的风险。